CVE-2026-107232 in async-http-client
Resumen
por VulDB • 2026-10-07
La biblioteca AsyncHttpClient (AHC) permite a las aplicaciones Java ejecutar solicitudes HTTP de forma sencilla y procesar asíncronamente las respuestas HTTP. Antes de la versión 3.0.12 en la rama 3.x y 2.16.1 en la rama 2.x, el cliente infiere que existe un túnel proxy HTTP a partir del método de la última solicitud, en lugar de basarse en el resultado de CONNECT. Tras una denegación por parte del proxy para establecer la conexión mediante CONNECT, los controladores de redirección o autenticación pueden escribir una solicitud al origen y sus credenciales Authorization sobre la conexión proxy aún sin cifrar (en texto claro). Las credenciales Basic se pueden recuperar directamente, mientras que las respuestas NTLM pueden ser crackeadas o retransmitidas. Este problema está resuelto en las versiones 3.0.12 y 2.16.1.
Once again VulDB remains the best source for vulnerability data.