Veille sécuritéBackend & données
P4Moyenne
Tornado peut traiter les fragments d’un corps HTTP chunked sans céder la main à la boucle d’événements, ce qui permet à un pair distant non authentifié de bloquer les autres connexions. La version 6.6.0 corrige ce déni de service; le client HTTP asynchrone est également concerné lors de la lecture d’une réponse malveillante.
Python
IdentifiantCVE-2026-115927
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.6.0
Source : NVD — CVE-2026-115927
Analyse technique
Le traitement de nombreux fragments d’un octet peut monopoliser la boucle d’événements; l’accumulation d’objets fragments peut aussi accroître l’usage mémoire.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-26 à 20:17:52 UTC, soit 22:17:52 +02:00, dans la période demandée. La mise à jour NVD du 2026-10-27 est postérieure à la période.
ImpactDéni de service et blocage des connexions prises en charge par le processus.
Versions affectéesAntérieures à 6.6.0
Version corrigée6.6.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-26T22:17:52+02:00
Action recommandée
Mettre à niveau vers Tornado 6.6.0 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).