CVE-2026-115927

Tornado bir Python veb freymvorku və asinxron şəbəkə kitabxanasıdır. 6.6.0 versiyasından əvvəl Tornado, HTTP/1.1 chunked transfer kodlamasını hadisələr dövrünə (event loop) müraciət etmədən artıq çatmış gövdə məlumatlarını emal edərək dekodlaşdırır. Uzaqdakı autentifikasiya olunmamış tərəf prosesin hadisələr dövrünü monopollaşdırmaq və həmin proses tərəfindən xidmət göstərilən digər bütün bağlantıları dayandırmaq üçün milyonlarla bir baytlıq hissəciklər (chunks) göndərə bilər, halbuki max_body_size parametrinin azaldılması yalnız hər bir sorğunun müddətini məhdudlaşdırır. @stream_request_body istifadə etməyən handler-lər üçün hər bir hissəciyin ayrı obyekt kimi saxlanılması təxminən qəbul edilmiş gövdə ölçüsünün iyirmi qatı qədər resurs istehlak edə bilər və SimpleAsyncHTTPClient zərərli serverdən cavab oxuyarkən eyni hadisələr dövrü davranışını nümayiş etdirir. Bu problem 6.6.0 versiyasında düzəldilmişdir.