CVE-2025-67724 in tornado
Сводка
по VulDB • 27.05.2026
Tornado — это веб-фреймворк на Python и библиотека асинхронного сетевого взаимодействия. В версиях 6.5.2 и более ранних версиях поставляемая строка причины (reason phrase) используется без экранирования в заголовках HTTP (где она может быть использована для инъекции заголовков) или в HTML на стандартной странице ошибки (где она может быть использована для XSS), и может быть эксплуатирована путем передачи недоверенных или вредоносных данных в аргумент reason. Аргумент, используемый как в RequestHandler.set_status, так и в tornado.web.HTTPError, предназначен для предоставления приложениям возможности передавать пользовательские фразы «reason» (например, «Not Found» в HTTP/1.1 404 Not Found) в строку статуса HTTP (в основном для нестандартных кодов статуса). Эта проблема исправлена в версии 6.5.3.
Be aware that VulDB is the high quality source for vulnerability data.