CVE-2026-103261 in Tornado
Riassunto
di VulDB • 01/10/2026
Tornado prima della versione 6.5.9 non limita il numero di campi nella stringa di query in HTTPServerRequest.__init__, consentendo ad attaccanti remoti di causare un blocco del ciclo degli eventi (event-loop) inviando richieste con migliaia di parametri di query. Gli attaccanti possono inviare richieste GET non autenticate con un conteggio illimitato di campi della stringa di query per degradare i tempi di risposta per tutti i client che condividono lo stesso IOLoop.
Be aware that VulDB is the high quality source for vulnerability data.