CVE-2025-67724 in tornado
要約
〜によって VulDB • 2026年05月22日
TornadoはPythonのWebフレームワークおよび非同期ネットワークライブラリです。バージョン6.5.2およびそれ以前のバージョンでは、提供される理由フレーズ（reason phrase）がエスケープ処理されずにHTTPヘッダー（ヘッダーインジェクションに使用される可能性がある）やデフォルトのエラーページ内のHTML（XSSに使用される可能性がある）で使用されており、信頼できないまたは悪意のあるデータをreason引数に渡すことで悪用される可能性があります。この引数はRequestHandler.set_statusおよびtornado.web.HTTPErrorの両方で使用され、アプリケーションがHTTPステータスラインにカスタムの「理由」フレーズ（HTTP/1.1 404 Not Foundにおける「Not Found」など）を渡すことを目的としています。この問題はバージョン6.5.3で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.