Iniciar sesión
Deutsch English Español Polski
Media

Open redirect vulnerability in Tornado versions 6.3.1 and earlier allows a remote unauthenticated attacker to redirect a user to an arbitrary web site and conduct a phishing attack by having user acce

  • Publicada: 25.05.2023
  • Actualizado: 11.10.2026 12:20

Open redirect vulnerability in Tornado versions 6.3.1 and earlier allows a remote unauthenticated attacker to redirect a user to an arbitrary web site and conduct a phishing attack by having user access a specially crafted URL.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) tornado < 6.3.2 6.3.2

Referencias

Puntuación CVSS 6.1/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-601
Plataforma
Python (PyPI)
Paquete
tornado
Publicada
25.05.2023
Actualizado
11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-hj3f-6gcp-jg8j - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2023-75 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: tornado

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (23) en el archivo
Entradas en total
23
Primera → última
05.2012 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 13
  • Media 8
  • Baja 2

Divulgaciones por año

antes: 1

Gravedad:
  1. tornado: CurlAsyncHTTPClient enforces no response-size limit — decompression bomb drives unbounded memory accumulation to OOM
    Alta · 7.5 CVE-2026-103262 < 6.5.9 6.5.9
  2. Tornado: StaticFileHandler follows symlinks outside static root (path traversal)
    Alta CVE-2026-103263 < 6.5.9 6.5.9
  3. Tornado: Urlencoded body parsing omits max_num_fields, so one request can stall the event loop
    Alta · 7.5 CVE-2026-82397 < 6.5.8 6.5.8
  4. Tornado: Authorization header forwarded across cross-origin redirects in SimpleAsyncHTTPClient
    Alta · 7.7 CVE-2026-49853 < 6.5.6 6.5.6
  5. tornado AsyncHTTPClient accumulates decompressed chunks without size limit (gzip bomb)
    Alta · 7.5 CVE-2026-49855 < 6.5.6 6.5.6
  6. Tornado has cookie attribute injection via .RequestHandler.set_cookie
    Alta · 7.2 CVE-2026-35536 < 6.5.5 6.5.5
  7. Tornado is vulnerable to DoS due to too many multipart parts
    Alta · 7.5 CVE-2026-31958 < 6.5.5 6.5.5
  8. Tornado: Quadratic DoS via Crafted Multipart Parameters
    Alta · 7.5 CVE-2025-67726 < 6.5.3 6.5.3
  9. Tornado: Quadratic DoS via Repeated Header Coalescing
    Alta · 7.5 CVE-2025-67725 < 6.5.3 6.5.3
  10. Tornado vulnerable to excessive logging caused by malformed multipart form data
    Alta · 7.5 CVE-2025-47287 < 6.5 6.5
  11. Tornado has an HTTP cookie parsing DoS vulnerability
    Alta · 7.5 CVE-2024-52804 < 6.4.2 6.4.2
  12. Open redirect vulnerability in Tornado versions 6.3.1 and earlier allows a remote unauthenticated attacker to redirect a user to an arbitrary web site and conduct a phishing attack by having user acce esta entrada
    Media · 6.1 CVE-2023-28370 < 6.3.2 6.3.2
  13. Tornado before 3.2.2 sends arbitrary responses that contain a fixed CSRF token and may be sent with HTTP compression, which makes it easier for remote attackers to conduct a BREACH attack and determin
    Alta · 6.5 CVE-2014-9720 < 3.2.2 3.2.2
  14. CRLF injection vulnerability in the tornado.web.RequestHandler.set_header function in Tornado before 2.2.1 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting
    Alta · 7.5 CVE-2012-2374 < 2.2.1 2.2.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.