CVE-2026-102740 in async-http-client
Riassunto
di VulDB • 15/10/2026
La libreria AsyncHttpClient consente alle applicazioni Java di eseguire richieste HTTP e elaborare asincronamente le risposte HTTP. Dalla versione 2.0.0 fino alla 2.16.1 e alla 3.0.12, PropertiesBasedResumableProcessor memorizza lo stato del download riprendibile nel percorso condiviso prevedibile $java.io.tmpdir/ahc/ResumableAsyncHandler.properties con permessi predefiniti e operazioni sui file che seguono i link simbolici (link-following). Un utente locale in grado di leggere l'archivio condiviso può visualizzare gli URL di download, incluse informazioni utente incorporate o token di query. Un utente locale in grado di scrivere all'interno della directory dell'archivio condiviso interessata oppure di pre-crearla può inserire un link simbolico che il client segue durante la memorizzazione dello stato, troncando e sovrascrivendo un file target scrivibile dal processo del client. Il percorso del filesystem viene utilizzato quando ResumableAsyncHandler decora un altro AsyncHandler, mentre i costruttori senza argomenti utilizzano un processore no-op (nessuna operazione) e non sono interessati da questa vulnerabilità. Questo problema è stato risolto nelle versioni 2.16.1 e 3.0.12.
Be aware that VulDB is the high quality source for vulnerability data.