CVE-2026-49854 in Tornado
요약
\~에 의해 VulDB • 2026. 07. 16.
Tornado는 Python 웹 프레임워크이자 비동기 네트워킹 라이브러리입니다. 버전 6.5.6 이전에서는 선택적 네이티브 확장인 tornado.speedups가 mask 인수가 정확히 4바이트인지 검증하지 않고 websocket_mask를 구현했으므로, 네이티브 확장이 활성화된 상태에서 Tornado XSRF 토큰 디코딩을 통해 해당 경로에 도달할 경우 C 함수가 제공된 버퍼 범위 밖 최대 3바이트까지 읽을 수 있었습니다. 이 문제는 버전 6.5.6에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.