CVE-2026-91991

Nome do Software Vulnerável e Versões Afetadas Tornado versões anteriores a 6.5.8

Description Uma correção incompleta para a injeção de atributos de cookie permite que atacantes injetem atributos de cookie arbitrários ao passar argumentos de palavra-chave capitalizados ou legados para a função set cookie(). O loop de validação rejeita caracteres específicos apenas para chaves em letras minúsculas, como name, domain, path e samesite. No entanto, o caminho depreciado **kwargs grava valores diretamente no Morsel sem validação. Como o Morsel. setitem não diferencia maiúsculas de minúsculas, o uso de parâmetros capitalizados como Domain, Path ou SameSite ignora o loop de validação, permitindo a injeção de dados delimitados por ponto e vírgula para modificar atributos de segurança do cookie, como forçar ou remover as flags Secure, HttpOnly ou SameSite.

Recommendations Atualize o Tornado para a versão 6.5.8 ou posterior. Como medida paliativa temporária, evite o uso de argumentos de palavra-chave capitalizados ou legados na função set cookie().