CVE-2026-31958

إصدارات Tornado الأقدم من 6.5.5

Tornado هو إطار عمل ويب ومكتبة شبكات غير متزامنة مكتوبة بلغة Python. في الإصدارات السابقة للإصدار 6.5.5، كان الحد الوحيد لعدد الأجزاء في طلبات multipart/form-data هو الإعداد max body size، الذي يبلغ قيمته الافتراضية 100 ميجابايت. ونظرًا لأن تحليل هذه الطلبات يحدث بشكل متزامن على الخيط الرئيسي، فقد يؤدي ذلك إلى حالة رفض الخدمة بسبب التكلفة الحسابية لمعالجة نصوص متعددة الأجزاء كبيرة جدًّا تحتوي على أجزاء عديدة. يقدم Tornado 6.5.5 حدودًا جديدة لحجم وتعقيد الأجسام متعددة الأجزاء، بما في ذلك حد افتراضي يبلغ 100 جزء لكل طلب، قابل للتكوين من خلال tornado.httputil.ParseMultipartConfig. ومن الممكن أيضًا تعطيل تحليل multipart/form-data تمامًا إذا لم يكن مطلوبًا.

يجب تحديث الإصدارات الأقدم من 6.5.5 إلى الإصدار 6.5.5 أو أحدث.