Veille sécuritéBackend & données
P4Moyenne
Avant Tornado 6.6, l’analyseur HTTP accepte le pliage obsolète des en-têtes et concatène de façon répétée de courtes lignes de continuation, ce qui peut entraîner une consommation quadratique du processeur. Un client non authentifié peut ainsi bloquer la boucle d’événements et dégrader la disponibilité des autres connexions du processus.
Python
IdentifiantCVE-2026-116577
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.6
Source : NVD — CVE-2026-116577
Analyse technique
Le traitement coûteux se produit sur le thread IOLoop avant l’exécution du code de l’application. Le coût augmente avec `max_header_size`; l’impact indiqué concerne la disponibilité.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-26T21:18:14.087Z, soit le 2026-10-26 à 23:18:14 en UTC+02:00, dans la période demandée.
ImpactUn client non authentifié peut monopoliser le thread IOLoop et perturber le service des autres connexions.
Versions affectéesVersions antérieures à 6.6.
Version corrigée6.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-26T21:18:14.087Z
Mise à jour2026-10-26T21:18:14.710Z
Action recommandée
Mettre à niveau Tornado vers la version 6.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).