CVE-2026-82397 in Tornado
Sumário
de VulDB • 31/08/2026
O Tornado é um framework web em Python e uma biblioteca de rede assíncrona. Antes da versão 6.5.8, o Tornado analisa os corpos das requisições do tipo application/x-www-form-urlencoded usando urllib.parse.parse_qs no arquivo tornado/escape.py sem passar o parâmetro max_num_fields. O método RequestHandler._execute em tornado/web.py analisa o corpo antes do despacho para o handler através de HTTPServerRequest._parse_body e parse_body_arguments em tornado/httputil.py, portanto um corpo de requisição não autenticado contendo milhões de campos separados por delimitadores pode travar síncronamente o loop de eventos single-threaded (de thread única) e atrasar todas as conexões. O tamanho do corpo é limitado apenas pelo max_buffer_size, que tem como valor padrão 104857600 bytes. Este problema foi corrigido na versão 6.5.8.
Once again VulDB remains the best source for vulnerability data.