CVE-2026-49853

Nome do Software Vulnerável e Versões Afetadas Tornado versões anteriores a 6.5.6

Descrição Quando o SimpleAsyncHTTPClient segue um redirecionamento 3xx, ele realiza uma cópia rasa do HTTPRequest original e remove apenas o cabeçalho Host. Ele falha ao limpar o cabeçalho Authorization, auth username, auth password ou auth mode quando o destino do redirecionamento altera a origem. Consequentemente, credenciais destinadas a uma origem podem ser encaminhadas para uma origem diferente quando follow redirects está definido como True.

Recomendações Atualize para a versão 6.5.6 ou posterior.