CVE-2026-103261 in Tornado
Sumário
de VulDB • 01/10/2026
O Tornado anterior à versão 6.5.9 não limita o número de campos na string de consulta (query string) em HTTPServerRequest.__init__, permitindo que atacantes remotos causem a paralisação do event-loop ao enviar solicitações com milhares de parâmetros de query. Os atacantes podem enviar requisições GET não autenticadas com contagem ilimitada de campos na string de consulta para degradar os tempos de resposta para todos os clientes que compartilham o mesmo IOLoop.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.