CVE-2026-49854

Nome do Software Vulnerável e Versões Afetadas Tornado versões anteriores a 6.5.6

Description A extensão nativa opcional tornado.speedups implementa a função websocket mask sem validar se o argumento mask possui exatamente quatro bytes. A função em C lê quatro bytes de mask incondicionalmente, o que pode levar à leitura além do buffer fornecido, expondo até 3 bytes de memória não inicializada. Este comportamento é acessível através do decodificador de token XSRF quando xsrf cookies=True e a extensão nativa está ativa.

Recommendations Atualize para a versão 6.5.6 ou posterior. Como medida paliativa temporária, defina a variável de ambiente TORNADO EXTENSION=0 para desativar a extensão nativa vulnerável.