Python 程式庫 Tornado < 6.5.8 DoS （CVE-2026-82397）

high Nessus Plugin ID 344487

語言:

概要

遠端主機上安裝的 Python 程式庫受到拒絕服務弱點影響。

說明

遠端主機上安裝的 Tornado Python 套件版本早於 6.5.8。因此會受到一個拒絕服務弱點影響：

- Tornado 是一個 Python Web 框架和非同步網絡庫。在 6.5.8之前，Tornado 會在 tornado/escape.py 中剖析具有urllib.parse.parse_qs的 application/x-www-form-urlencoded 要求內文，而不傳遞 max_num_fields。Tornado/web.py 中的 RequestHandler._execute 會剖析處理常式分派前的正文，然後透過 Tornado/httputil.py 中的 HTTPServerRequest._parse_body 和 parse_body_arguments，因此包含數百萬個分隔符號分隔欄位的未經驗證的請求主體可以同步停止單執行緒事件迴圈並延遲每個連線。內文僅以 max_buffer_size 為界，預設為 104857600 位元組。6.5.8 版已修正此問題。(CVE-2026-82397)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。