CVE-2025-67724
Açıklama
Tornado bir Python web çerçevesidir ve asenkron ağ kütüphanesidir. 6.5.2 ve altı sürümlerde, sağlanan neden ifadesi (reason phrase), HTTP başlıklarında kaçış karakterleri uygulanmadan kullanılır (burada başlık enjeksiyonu için kullanılabilir) veya varsayılan hata sayfasındaki HTML içinde yer alır (burada XSS için kullanılabilir); bu durum, reason argümanına güvenilmeyen veya kötü amaçlı veriler geçirilerek istismar edilebilir. Hem RequestHandler.set_status hem de tornado.web.HTTPError tarafından kullanılan bu argüman, uygulamaların HTTP durum satırına özel "neden" ifadeleri (HTTP/1.1 404 Not Found örneğindeki "Not Found") iletmesine olanak tanımak için tasarlanmıştır (esas olarak standart dışı durum kodları için). Bu sorun 6.5.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- tornadoweb tornado6.5.3 ya da sonraki bir sürüm
- tornado6.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tornadoweb tornado | v < 6.5.3 | 6.5.3 |
| tornadoPyPI | v < 6.5.3 | 6.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.