CVE-2026-107281 in Async-Http-Client
Zusammenfassung
von VulDB • 07.10.2026
Die AsyncHttpClient (AHC)-Bibliothek ermöglicht es Java-Anwendungen, HTTP-Anfragen einfach auszuführen und HTTP-Antworten asynchron zu verarbeiten. Vor den Versionen 3.0.13 und 2.16.1 schließt der Schlüssel für die HTTP/1.1-Verbindungs-Poolung das authentifizierte Principal bei verbindungsbasierter NTLM- und Negotiate-Authentifizierung aus. Ein im Pool gespeicherter Socket, der für eine Anfrage authentifiziert wurde, kann von einer anderen Anfrage mit einem anderen Principal wiederverwendet werden, wodurch der Server die spätere Anfrage als die erste Identität ausführt. Basic- und Digest-Authentifizierung sind nicht betroffen, da sie jede Anfrage einzeln authentifizieren. Dieses Problem ist in den Versionen 3.0.13 und 2.16.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.