CVE-2026-82397

Tornado bir Python web çerçevesidir ve asenkron ağ kütüphanesidir. 6.5.8 sürümünden önce Tornado, tornado/escape.py içindeki application/x-www-form-urlencoded istek gövdelerini max_num_fields parametresini geçirmeden urllib.parse.parse_qs ile ayrıştırır. tornado/web.py içindeki RequestHandler._execute, handler dağıtımı öncesinde gövdeyi tornado/httputil.py içindeki HTTPServerRequest._parse_body ve parse_body_arguments aracılığıyla ayrıştırır; bu nedenle milyonlarca ayırıcıyla sınırlandırılmış alan içeren kimlik doğrulanmamış bir istek gövdesi, tek iş parçacıklı olay döngüsünü senkron olarak durdurabilir ve her bağlantıyı geciktirebilir. Gövde yalnızca varsayılan değeri 104857600 bayt olan max_buffer_size ile sınırlandırılmıştır. Bu sorun 6.5.8 sürümünde düzeltilmiştir.