Python ライブラリ Tornado < 6.5.5 Cookie 属性インジェクション

medium Nessus プラグイン ID 307354

Language:

概要

リモートホストにインストールされている Python ライブラリは、クッキー属性インジェクションの脆弱性の影響を受けます。

説明

リモートホストにインストールされている Tornado Python ライブラリのバージョンは、 6.5.5より前です。したがって、クッキー属性インジェクションの脆弱性の影響を受けます

- RequestHandler.set_cookie に対するドメイン、パスおよび samesite 引数が細工された文字に関してチェックされなかったため、クッキー属性インジェクションが発生する可能性があります。特にセミコロンが許可され、これが利用されて、他のクッキー属性の攻撃者が制御する値を挿入される可能性があります。CVE-2026-35536

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。