CVE-2026-107227 in async-http-client
Zusammenfassung
von VulDB • 07.10.2026
Die AsyncHttpClient (AHC)-Bibliothek ermöglicht es Java-Anwendungen, HTTP-Anfragen einfach auszuführen und HTTP-Antworten asynchron zu verarbeiten. Von Version 2.2.0 bis 3.0.14 ist die Dekompression von WebSocket permessage-deflate unbegrenzt, wenn Komprimierung aktiviert ist. Die eingehende Pipeline aggregiert komprimierte Frames, bevor sie durch den WebSocketClientCompressionHandler dekomprimiert werden; daher begrenzen webSocketMaxFrameSize und webSocketMaxBufferSize die dekomprimierten Daten nicht. Ein bösartiger WebSocket-Peer kann eine kleine komprimierte Nachricht senden, die sich zu einem sehr großen Netty-Buffer ausdehnt und den JVM-Speicher erschöpft. Dieses Problem wurde in Version 3.0.14 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.