CVE-2026-107228 in async-http-client
Zusammenfassung
von VulDB • 07.10.2026
Die AsyncHttpClient (AHC)-Bibliothek ermöglicht es Java-Anwendungen, HTTP-Anfragen einfach auszuführen und HTTP-Antworten asynchron zu verarbeiten. Von Version 2.1.0 bis 3.0.14 ersetzt der standardmäßig aktivierte Cookie-Speicher einen explizit über `setHeader` oder `addHeader` bereitgestellten Cookie-Header, wenn der Speicher irgendeinen Cookie für den Ursprung (Origin) beiträgt. In einem gemeinsam genutzten Client können gespeicherte Cookies, die von einem Benutzer stammen, die Anfrages-Cookies eines anderen Benutzers ersetzen, wodurch die Anfrage unter der falschen Sitzung ausgeführt wird. Dies umgeht die früher behobene Schwachstelle CVE-2024-53990, welche zwar Cookies abdeckte, die über `addCookie` bereitgestellt wurden, jedoch nicht direkt gelieferte Header. Dieses Problem wurde in Version 3.0.14 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.