CVE-2026-107285 in async-http-client
الملخص
بحسب VulDB • 07/10/2026
تسمح مكتبة AsyncHttpClient (AHC) لتطبيقات Java بتنفيذ طلبات HTTP بسهولة ومعالجة استجابات HTTP بشكل غير متزامن. قبل الإصدارين 3.0.12 و 2.16.1، يتم نقل طلب ws المموّه عبر CONNECT، لكن الدالتان NettyRequestFactory.newNettyRequest و requestUri تقرران ما إذا كان سيتم إرفاق مصادقة الوكيل (proxy authentication) واستهداف بصيغة مطلقة بناءً فقط على ما إذا كانت عنوان URI آمناً. وبما أن ws غير مُصنّف كآمن، فإن ترقية WebSocket المموّهة المُرسلة إلى الخادم الأصلي تتضمن قيمة Proxy-Authorization الخاصة بالوكيل. يمكن استعادة بيانات الاعتماد الأساسية (Basic credentials) بشكل مباشر، ويمكن إعادة تشغيل أو اختراق استجابات Digest في وضع عدم الاتصال. تم إصلاح هذه المشكلة في الإصدارين 3.0.12 و 2.16.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.