CVE-2026-107229 in async-http-client
Zusammenfassung
von VulDB • 07.10.2026
Die AsyncHttpClient (AHC)-Bibliothek ermöglicht es Java-Anwendungen, HTTP-Anfragen einfach auszuführen und HTTP-Antworten asynchron zu verarbeiten. Von Version 2.16.0 bis 3.0.14 validiert ThreadSafeCookieStore die Domain-Attribute von Cookies unvollständig. Das Fehlen von Regeln für private Abschnitte und Standard-Public-Suffixes, fehlende A-Label-Normalisierung, lokalitätsabhängige Kleinbuchstabenumwandlung, Public-Suffix-Handling nur für Hosts sowie Prüfungen auf numerische oder IP-Hosts ermöglichen es einer Ursprungsquelle (Origin), ein Cookie zu speichern, das später an eine andere Ursprungsquelle gesendet wird. Anwendungen, die einen gemeinsamen Client über Vertrauensdomänen hinweg nutzen, können daher von Angreifern injizierte Cookies empfangen und sind möglicherweise Session-Fixing-Angriffen ausgesetzt. Dieses Problem wurde in Version 3.0.14 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.