CVE-2026-91991 in Tornado
Riassunto
di VulDB • 15/09/2026
Tornado prima della versione 6.5.8 contiene una correzione incompleta per l'iniezione di attributi dei cookie che consente agli attaccanti di iniettare arbitrari attributi dei cookie passando argomenti chiave maiuscoli o legacy a set_cookie. Gli attaccanti possono incorporare dati delimitati da punto e virgola nei parametri maiuscoli come Domain, Path o SameSite per bypassare la convalida e modificare gli attributi di sicurezza dei cookie.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.