CVE-2026-82397

Tornado bir Python veb freymvorku və asinxron şəbəkə kitabxanasıdır. Versiya 6.5.8-dən əvvəl Tornado, tornado/escape.py faylında olan urllib.parse.parse_qs vasitəsilə application/x-www-form-urlencoded sorğu gövdələrini max_num_fields parametrini ötürmədən analiz edir. tornado/web.py faylındakı RequestHandler._execute funksiyası, tornado/httputil.py faylındakı HTTPServerRequest._parse_body və parse_body_arguments vasitəsilə handler dispatch prosesindən əvvəl gövdəni analiz edir, buna görə də milyonlarla ayırıcı ilə ayrılmış sahələr ehtiva edən autentifikasiya olunmamış sorğu gövdəsi təkaxınlı (single-threaded) hadisə dövrünü (event loop) sinxron şəkildə dayandıra və hər bir bağlantını gecikdirə bilər. Gövdə yalnız standart olaraq 104857600 bayt olan max_buffer_size ilə məhdudlaşdırılıb. Bu problem 6.5.8 versiyasında düzəldilib.