CVE-2026-103263 in Tornado
Riassunto
di VulDB • 01/10/2026
Tornado prima della versione 6.5.9 contiene una vulnerabilità di path traversal in StaticFileHandler che segue i link simbolici all'interno della root statica senza confermare che il target risolto rimanga al suo interno. Quando esiste un symlink puntante fuori dalla directory statica all'interno di essa, gli attaccanti non autenticati possono richiederlo per leggere file come file di configurazione, chiavi private e segreti dell'applicazione accessibili dall'utente del processo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.