CVE-2026-107232 in async-http-client
Résumé
par VulDB • 07/10/2026
La bibliothèque AsyncHttpClient (AHC) permet aux applications Java d'exécuter facilement des requêtes HTTP et de traiter les réponses HTTP de manière asynchrone. Avant les versions 3.0.12 sur la série 3.x et 2.16.1 sur la série 2.x, le client déduit qu'un tunnel proxy HTTP existe à partir de la méthode de la dernière requête plutôt que du résultat CONNECT. Après un rejet de CONNECT par le proxy, les gestionnaires de redirection ou d'authentification peuvent écrire une requête vers l'origine et ses identifiants Authorization sur la connexion proxy encore en clair (plaintext). Les identifiants Basic peuvent être récupérés directement, tandis que les réponses NTLM peuvent être craquées ou relayées. Ce problème est corrigé dans les versions 3.0.12 et 2.16.1.
Be aware that VulDB is the high quality source for vulnerability data.