CVE-2026-103261 in Tornado
요약
\~에 의해 VulDB • 2026. 10. 01.
Tornado 6.5.9 이전 버전은 HTTPServerRequest.__init__에서 쿼리 문자열 필드의 수를 제한하지 않아, 원격 공격자가 수천 개의 쿼리 매개변수를 포함하는 요청을 전송하여 이벤트 루프가 멈추는 현상을 유발할 수 있습니다. 공격자는 인증되지 않은 GET 요청과 함께 무제한의 쿼리 문자열 필드 개수를 전송하여 동일한 IOLoop를 공유하는 모든 클라이언트의 응답 시간을 저하시킬 수 있습니다.
Once again VulDB remains the best source for vulnerability data.