Tornado apresenta injeção de atributo de cookie via .RequestHandler.set_cookie

CVE-2026-35536 afeta o Tornado em versões anteriores a 6.5.5, expondo aplicações web a uma vulnerabilidade de injeção de atributos de cookie. Esta falha ocorre porque a função RequestHandler.set_cookie não valida adequadamente os caracteres especiais nos argumentos domain, path e samesite. Um atacante pode manipular esses argumentos para injetar código malicioso em cookies, o que pode levar ao roubo de identidade, roubo de informações confidenciais ou execução de código arbitrário no navegador do usuário. A severidade CVSS é 7.2, indicando um risco alto. A falta de validação permite a inserção de caracteres que podem alterar o comportamento esperado do cookie, comprometendo a segurança da aplicação.

Applications built using Tornado, particularly those handling sensitive user data or financial transactions, are at risk. Web applications relying heavily on cookies for authentication and session management are especially vulnerable. Development teams using older versions of Tornado (≤6.5b1) should prioritize upgrading to the patched version.

• python / server:

import re
# Check for suspicious characters in cookie attributes
log_pattern = re.compile(r'Cookie: .*?(?:domain=[^\s;]+|path=[^\s;]+|samesite=[^\s;]+).*?[\x00-\x1F]')
# Analyze server logs for matches

• generic web:

curl -I 'http://your-tornado-app.com/' | grep 'Cookie:'

• generic web:

# Check for unusual characters in cookie attributes in access logs
grep -i 'domain=[^;]*[\x00-\x1F][^;]*' /var/log/apache2/access.log

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-04-03
2. Publicada2026-04-03
3. Modificada2026-04-15
4. EPSS atualizado2026-04-10

A solução para mitigar CVE-2026-35536 é atualizar o Tornado para a versão 6.5.5 ou superior. Esta versão inclui correções de segurança que validam os argumentos domain, path e samesite em RequestHandler.setcookie, prevenindo a injeção de atributos de cookie. Além disso, recomenda-se revisar o código da aplicação para identificar e corrigir qualquer uso inseguro da função setcookie que possa ser vulnerável. Implementar uma política de segurança de cookies robusta, incluindo a validação de entrada e o uso de atributos como HttpOnly e Secure, pode ajudar a reduzir o risco de exploração. Monitorar os logs da aplicação em busca de atividades suspeitas relacionadas à manipulação de cookies também é crucial.