CVE-2026-91990
Yüksek
Açıklama
6.5.8 sürümü öncesindeki Tornado, max_parts sınırını doğrulamadan önce multipart verilerini ayıran parse_multipart_form_data fonksiyonunda bir bellek amplifikasyonu zafiyeti içermektedir. Saldırganlar, büyük geçici listeler oluşturmak için çok sayıda parça içeren özel olarak hazırlanmış multipart istekleri göndererek sunucu belleğini tüketebilir ve hizmet reddine (DoS) neden olabilir.
ÖnemYüksek
CVSS7.5
İstismar olasılığı—
ÜrünTornado
Yayın15 Eyl 2026
İlk görülme15 Eyl 2026
Zayıflık türüCWE-770Sınırsız kaynak ayırma
Nasıl düzeltilir
Güncelleyin
- tornado6.5.8 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tornadoPyPI | v < 6.5.8 | 6.5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.