In Tornado vor 6.5.5 konnte Cookie-Attribut-Injection auftreten, da die Domain-, Path- und Samesite-Argumente für .RequestHandler.set_cookie nicht auf manipulierte Zeichen überprüft wurden.

CVE-2026-35536 betrifft Tornado-Versionen vor 6.5.5 und setzt Webanwendungen einer Cookie-Attribut-Injektions-Schwachstelle aus. Dieser Fehler tritt auf, weil die Funktion RequestHandler.set_cookie spezielle Zeichen in den Argumenten domain, path und samesite nicht ordnungsgemäß validiert. Ein Angreifer könnte diese Argumente manipulieren, um bösartigen Code in Cookies einzuschleusen, was zu Identitätsdiebstahl, Diebstahl sensibler Informationen oder der Ausführung von beliebigem Code im Browser des Benutzers führen könnte. Die CVSS-Schweregrad ist 7,2, was ein hohes Risiko anzeigt. Das Fehlen einer Validierung ermöglicht das Einfügen von Zeichen, die das erwartete Verhalten des Cookies verändern und die Sicherheit der Anwendung gefährden können.

Applications built using Tornado, particularly those handling sensitive user data or financial transactions, are at risk. Web applications relying heavily on cookies for authentication and session management are especially vulnerable. Development teams using older versions of Tornado (≤6.5b1) should prioritize upgrading to the patched version.

• python / server:

import re
# Check for suspicious characters in cookie attributes
log_pattern = re.compile(r'Cookie: .*?(?:domain=[^\s;]+|path=[^\s;]+|samesite=[^\s;]+).*?[\x00-\x1F]')
# Analyze server logs for matches

• generic web:

curl -I 'http://your-tornado-app.com/' | grep 'Cookie:'

• generic web:

# Check for unusual characters in cookie attributes in access logs
grep -i 'domain=[^;]*[\x00-\x1F][^;]*' /var/log/apache2/access.log

1. 2026-04-03Disclosure

   disclosure

1. Reserviert2026-04-03
2. Veröffentlicht2026-04-03
3. Geändert2026-04-15
4. EPSS aktualisiert2026-04-10

Die Lösung zur Minderung von CVE-2026-35536 besteht darin, Tornado auf Version 6.5.5 oder höher zu aktualisieren. Diese Version enthält Sicherheitskorrekturen, die die Argumente domain, path und samesite in RequestHandler.setcookie validieren und so die Cookie-Attribut-Injektion verhindern. Überprüfen Sie außerdem den Code Ihrer Anwendung, um unsichere Verwendung der Funktion setcookie zu identifizieren und zu beheben, die anfällig sein könnte. Die Implementierung einer robusten Cookie-Sicherheitspolitik, einschließlich der Eingabevalidierung und der Verwendung von Attributen wie HttpOnly und Secure, kann dazu beitragen, das Risiko einer Ausnutzung zu verringern. Die Überwachung der Anwendungsprotokolle auf verdächtige Aktivitäten im Zusammenhang mit der Cookie-Manipulation ist ebenfalls entscheidend.