PT-2026-125384

CVE-2026-116578

Publicado

2026-10-26

Atualizado

2026-11-05

Descrição por

CVSS 4.0

2.1

Baixa

MétricasAV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Tornado versões anteriores a 6.6

Descrição Nos templates de URL do tornado.web.RedirectHandler, substituições de captura de regex podem ser manipuladas por meio de caminhos de requisição maliciosos para alterar o esquema de redirecionamento ou a localização da rede. Isso ocorre quando as substituições são colocadas no início de um caminho, diretamente após um host fixo ou no início do template. Isso inclui variantes relativas ao protocolo, absolutas, com barra invertida, codificadas, de extensão de host e de informações de usuário que os navegadores interpretam como destinos controlados por atacantes. Essa falha permite um redirecionamento aberto no domínio da aplicação, que pode ser usado para phishing.

Recomendações Atualizar para a versão 6.6.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Gn00295120

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-601: URL Redirection to Untrusted Site (\'Open Redirect\')

Identificadores relacionados