CVE-2026-35536 : Injection d'attribut de cookie dans Tornado

CVE-2026-35536 affecte Tornado versions antérieures à 6.5.5, exposant les applications web à une vulnérabilité d'injection d'attributs de cookie. Cette faille se produit parce que la fonction RequestHandler.set_cookie ne valide pas correctement les caractères spéciaux dans les arguments domain, path et samesite. Un attaquant pourrait manipuler ces arguments pour injecter du code malveillant dans les cookies, ce qui pourrait entraîner un vol d'identité, un vol d'informations sensibles ou l'exécution de code arbitraire dans le navigateur de l'utilisateur. La sévérité CVSS est de 7.2, ce qui indique un risque élevé. L'absence de validation permet l'insertion de caractères susceptibles de modifier le comportement attendu du cookie, compromettant ainsi la sécurité de l'application.

Applications built using Tornado, particularly those handling sensitive user data or financial transactions, are at risk. Web applications relying heavily on cookies for authentication and session management are especially vulnerable. Development teams using older versions of Tornado (≤6.5b1) should prioritize upgrading to the patched version.

• python / server:

import re
# Check for suspicious characters in cookie attributes
log_pattern = re.compile(r'Cookie: .*?(?:domain=[^\s;]+|path=[^\s;]+|samesite=[^\s;]+).*?[\x00-\x1F]')
# Analyze server logs for matches

• generic web:

curl -I 'http://your-tornado-app.com/' | grep 'Cookie:'

• generic web:

# Check for unusual characters in cookie attributes in access logs
grep -i 'domain=[^;]*[\x00-\x1F][^;]*' /var/log/apache2/access.log

1. 2026-04-03Disclosure

   disclosure

1. Réservé2026-04-03
2. Publiée2026-04-03
3. Modifiée2026-04-15
4. EPSS mis à jour2026-04-10

La solution pour atténuer CVE-2026-35536 consiste à mettre à niveau Tornado vers la version 6.5.5 ou supérieure. Cette version inclut des correctifs de sécurité qui valident les arguments domain, path et samesite dans RequestHandler.setcookie, empêchant ainsi l'injection d'attributs de cookie. De plus, examinez le code de votre application pour identifier et corriger tout usage non sécurisé de la fonction setcookie qui pourrait être vulnérable. La mise en œuvre d'une politique de sécurité des cookies robuste, comprenant la validation des entrées et l'utilisation d'attributs tels que HttpOnly et Secure, peut contribuer à réduire le risque d'exploitation. La surveillance des journaux d'application à la recherche d'activités suspectes liées à la manipulation des cookies est également essentielle.