Zaloguj się
Deutsch English Español Polski
Wysoka

Tornado vulnerable to excessive logging caused by malformed multipart form data

  • Ujawniono: 16.05.2025
  • Aktualizacja: 11.10.2026 15:17

Summary

When Tornado's multipart/form-data parser encounters certain errors, it logs a warning but continues trying to parse the remainder of the data. This allows remote attackers to generate an extremely high volume of logs, constituting a DoS attack. This DoS is compounded by the fact that the logging subsystem is synchronous.

Affected versions

All versions of Tornado prior to 6.5 are affected. The vulnerable parser is enabled by default.

Solution

Upgrade to Tornado version 6.5. In the meantime, risk can be mitigated by blocking Content-Type: multipart/form-data in a proxy.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) tornado < 6.5 6.5

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-770
Platforma
Python (PyPI)
Paczka
tornado
Ujawniono
16.05.2025
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1974 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-7cx3-6m66-7c5m - CC BY 4.0

Historia podatności: tornado

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (23) w archiwum
Wszystkich wpisów
23
Pierwsza → ostatnia
05.2012 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 13
  • Średnia 8
  • Niska 2

Ujawnienia w latach

wcześniej: 1

Istotność:
  1. tornado: CurlAsyncHTTPClient enforces no response-size limit — decompression bomb drives unbounded memory accumulation to OOM
    Wysoka · 7.5 CVE-2026-103262 < 6.5.9 6.5.9
  2. Tornado: StaticFileHandler follows symlinks outside static root (path traversal)
    Wysoka CVE-2026-103263 < 6.5.9 6.5.9
  3. Tornado: Urlencoded body parsing omits max_num_fields, so one request can stall the event loop
    Wysoka · 7.5 CVE-2026-82397 < 6.5.8 6.5.8
  4. Tornado: Authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient
    Wysoka · 7.7 CVE-2026-49853 < 6.5.6 6.5.6
  5. tornado AsyncHTTPClient accumulates decompressed chunks without size limit (gzip bomb)
    Wysoka · 7.5 CVE-2026-49855 < 6.5.6 6.5.6
  6. Tornado has cookie attribute injection via .RequestHandler.set_cookie
    Wysoka · 7.2 CVE-2026-35536 < 6.5.5 6.5.5
  7. Tornado is vulnerable to DoS due to too many multipart parts
    Wysoka · 7.5 CVE-2026-31958 < 6.5.5 6.5.5
  8. Tornado: Quadratic DoS via Crafted Multipart Parameters
    Wysoka · 7.5 CVE-2025-67726 < 6.5.3 6.5.3
  9. Tornado: Quadratic DoS via Repeated Header Coalescing
    Wysoka · 7.5 CVE-2025-67725 < 6.5.3 6.5.3
  10. Tornado vulnerable to excessive logging caused by malformed multipart form data ten wpis
    Wysoka · 7.5 CVE-2025-47287 < 6.5 6.5
  11. Tornado has an HTTP cookie parsing DoS vulnerability
    Wysoka · 7.5 CVE-2024-52804 < 6.4.2 6.4.2
  12. Tornado before 3.2.2 sends arbitrary responses that contain a fixed CSRF token and may be sent with HTTP compression, which makes it easier for remote attackers to conduct a BREACH attack and determin
    Wysoka · 6.5 CVE-2014-9720 < 3.2.2 3.2.2
  13. CRLF injection vulnerability in the tornado.web.RequestHandler.set_header function in Tornado before 2.2.1 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting
    Wysoka · 7.5 CVE-2012-2374 < 2.2.1 2.2.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.