CVE-2025-67724

Nome do Software Vulnerável e Versões Afetadas Versões do Tornado 6.5.2 e anteriores

Descrição O Tornado, um framework web Python e biblioteca de rede assíncrona, apresenta uma vulnerabilidade na qual a frase reason fornecida a funções como RequestHandler.set status e tornado.web.HTTPError é utilizada sem o devido escape. Isso pode levar à injeção de cabeçalho quando usado em cabeçalhos HTTP e a cross-site scripting (XSS) quando exibido no HTML da página de erro padrão. O argumento reason destina-se a frases de status HTTP personalizadas. A exploração envolve fornecer dados não confiáveis ou maliciosos como o argumento reason.

Recomendações Versões anteriores à 6.5.3 devem ser atualizadas para a versão 6.5.3 ou posterior.