В Tornado до 6.6.0 нашли блокировку event loop через chunked-запросы

Уязвимость CVE-2026-115927 (CVSS 5.3) в Tornado до 6.6.0 позволяет неаутентифицированному атакующему отправлять миллионы однобайтовых чанков, блокируя asyncio event loop и вызывая ~20-кратное раздувание памяти. Исправление вышло в версии 6.6.0.

• CVSS 5.3, CWE-400: неаутентифицированный DoS через HTTP/1.1 chunked
• Однобайтовые чанки дают ~20-кратный рост памяти
• Исправлено в Tornado 6.6.0: bytearray и периодический yield
• POC опубликован, EPSS 0,384%