CVE-2026-85717 in Async-Http-Client
Zusammenfassung
von VulDB • 17.09.2026
Die AsyncHttpClient (AHC)-Bibliothek ermöglicht es Java-Anwendungen, HTTP-Anfragen einfach auszuführen und HTTP-Antworten asynchron zu verarbeiten. Von Version 2.14.5 bis 2.16.0 sowie von 3.0.9 bis 3.0.11 kann ein Client, der mit einer clientweiten Realm (Bereich) und aktivierter Weiterleitungsfolge konfiguriert ist, nach einem Cross-Origin-Redirect Anmeldeinformationen offenlegen, da die Authentifizierungspfade in den Interceptors auf die Client-Konfiguration zurückfallen, wenn das pro-Austausch festgelegte Realm durch die Handhabung der Umleitung gelöscht wird. Wenn das vom Angreifer kontrollierte Ziel einen 401-Statuscode zurückgibt, kann der Client Basic- oder Digest-Anmeldeinformationen sowie ein Negotiate- oder NTLM-Token an diese Ursprungsquelle senden. Pro-Anfrage festgelegte Realms werden korrekt entfernt; dieses Problem stellt eine Restumgehung der früheren Fixes zur Entfernung von Anmeldeinformationen bei Cross-Origin-Aufrufen dar. Dieses Problem wurde in den Versionen 2.16.1 und 3.0.12 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.