Tornado before 6.6 Cookie Attribute Injection via set_cookie max_age

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Tornado before 6.6 does not validate the max_age argument of RequestHandler.set_cookie (also called by set_signed_cookie, set_secure_cookie, and clear_cookie), allowing injection of additional Set-Cookie attributes. When an application passes attacker-influenced input as max_age, an attacker can embed attributes such as Domain, Path, or Secure to widen the cookie's scope to parent paths or other subdomains.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ornado/security/advisories/GHSA-c6v4-qj2h-f748 Üretici bülteni
• vulncheck.com/…kie-attribute-injection-via-set-cookie-max-age Üçüncü taraf

Kayıt geçmişi

1. 8 Kas 2026 04:37Yayımlandı

İlgili açıklar

• 6,5 CVE-2026-123534Tornado before 6.6 Path Traversal via static_url() Version Hashing
• 2,1 CVE-2026-116578Tornado RedirectHandler'da protokol-göreli URL'ler üzerinden açık yönlendirme
• 5,3 CVE-2026-116577Tornado'da HTTP başlıklarının satır katlamasıyla ayrıştırılması karesel CPU tüketimine yol açıyor
• 5,3 CVE-2026-115927Tornado'da parçalı (chunked) gövdelerde olay döngüsünün engellenmesi ve aşırı bellek kullanımı
• 7,3 CVE-2026-123990DataEase grafik veri işleyicisinde SQL enjeksiyonu açığı
• 6,5 CVE-2026-66981HCL AION is affected by multiple security vulnerabilities.