遠端主機上安裝的 python3-tornado 版本低於 5.0.2-4。因此，會受到 ALAS2-2026-3846 公告中所提及的多個弱點影響。

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在之前 6.5.6，SimpleAsyncHTTPClient 會以淺層方式複製重新導向要求，並僅移除 Host 標頭，當重新導向變更配置、主機或連接埠時，會保留 Authorization、auth_username、auth_password 和 auth_mode。6.5.6 版已修正此問題。(CVE-2026-49853)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在之前 6.5.6，可選的原生延伸模組 tornado.speedups websocket_mask實作，而沒有驗證遮罩引數是否恰好是四個位元組，因此當透過 Tornado XSRF 權杖解碼到達時，C 函式最多可以讀取超出所提供緩衝區的三個位元組，且原生延伸模組處於活動狀態。6.5.6 版已修正此問題。(CVE-2026-49854)

    Tornado 是一款 Python Web 架構與非同步網路程式庫。在之前 6.5.6，Tornado gzip 解壓縮常式會處理大小有限的區塊，但不會對累積的解壓縮區塊強制執行整體限制，因此允許 SimpleAsyncHTTPClient 或設定為 decompress_request=True 的 HTTPServer 存取的惡意伺服器有效地消耗無限記憶體。6.5.6 版已修正此問題。(CVE-2026-49855)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2 ： python3-tornado， --advisory ALAS2-2026-3846 （ALAS-2026-3846）

high Nessus Plugin ID 332034

找不到依附元件