Iniciar sesión
Deutsch English Español Polski
Alta

Tornado has an HTTP cookie parsing DoS vulnerability

  • Publicada: 22.11.2024
  • Actualizado: 11.10.2026 15:17

The algorithm used for parsing HTTP cookies in Tornado versions prior to 6.4.2 sometimes has quadratic complexity, leading to excessive CPU consumption when parsing maliciously-crafted cookie headers. This parsing occurs in the event loop thread and may block the processing of other requests.

See also CVE-2024-7592 for a similar vulnerability in cpython.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) tornado < 6.4.2 6.4.2

Referencias

Puntuación CVSS 7.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE)
CWE-400, CWE-770
Plataforma
Python (PyPI)
Paquete
tornado
Publicada
22.11.2024
Actualizado
11.10.2026 15:17

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-1975 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8w49-h785-mj3c - CC BY 4.0

Historial de vulnerabilidades: tornado

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (23) en el archivo
Entradas en total
23
Primera → última
05.2012 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 13
  • Media 8
  • Baja 2

Divulgaciones por año

antes: 1

Gravedad:
  1. tornado: CurlAsyncHTTPClient enforces no response-size limit — decompression bomb drives unbounded memory accumulation to OOM
    Alta · 7.5 CVE-2026-103262 < 6.5.9 6.5.9
  2. Tornado: StaticFileHandler follows symlinks outside static root (path traversal)
    Alta CVE-2026-103263 < 6.5.9 6.5.9
  3. Tornado: Urlencoded body parsing omits max_num_fields, so one request can stall the event loop
    Alta · 7.5 CVE-2026-82397 < 6.5.8 6.5.8
  4. Tornado: Authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient
    Alta · 7.7 CVE-2026-49853 < 6.5.6 6.5.6
  5. tornado AsyncHTTPClient accumulates decompressed chunks without size limit (gzip bomb)
    Alta · 7.5 CVE-2026-49855 < 6.5.6 6.5.6
  6. Tornado has cookie attribute injection via .RequestHandler.set_cookie
    Alta · 7.2 CVE-2026-35536 < 6.5.5 6.5.5
  7. Tornado is vulnerable to DoS due to too many multipart parts
    Alta · 7.5 CVE-2026-31958 < 6.5.5 6.5.5
  8. Tornado: Quadratic DoS via Crafted Multipart Parameters
    Alta · 7.5 CVE-2025-67726 < 6.5.3 6.5.3
  9. Tornado: Quadratic DoS via Repeated Header Coalescing
    Alta · 7.5 CVE-2025-67725 < 6.5.3 6.5.3
  10. Tornado vulnerable to excessive logging caused by malformed multipart form data
    Alta · 7.5 CVE-2025-47287 < 6.5 6.5
  11. Tornado has an HTTP cookie parsing DoS vulnerability esta entrada
    Alta · 7.5 CVE-2024-52804 < 6.4.2 6.4.2
  12. Tornado before 3.2.2 sends arbitrary responses that contain a fixed CSRF token and may be sent with HTTP compression, which makes it easier for remote attackers to conduct a BREACH attack and determin
    Alta · 6.5 CVE-2014-9720 < 3.2.2 3.2.2
  13. CRLF injection vulnerability in the tornado.web.RequestHandler.set_header function in Tornado before 2.2.1 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting
    Alta · 7.5 CVE-2012-2374 < 2.2.1 2.2.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.