CVE-2025-67726

Nome do Software Vulnerável e Versões Afetadas Tornado versões 6.5.2 e anteriores

Descrição O Tornado, um framework web em Python e biblioteca de rede assíncrona, é suscetível a uma condição de negação de serviço (DoS). A função parseparam no arquivo httputil.py utiliza um algoritmo ineficiente ao analisar parâmetros em valores de cabeçalho HTTP, especificamente ao lidar com multipart/form-data. Chamadas repetidas à função string.count() dentro de um loop aninhado, ao processar pontos e vírgula entre aspas, resultam em complexidade de tempo quadrática (O(n²)) ao analisar parâmetros construídos de forma maliciosa em um cabeçalho Content-Disposition. Isso pode causar a indisponibilidade do servidor devido à arquitetura de loop de eventos único do Tornado.

Recomendações Atualize para o Tornado versão 6.5.3 ou superior.