CVE-2026-107228 in async-http-client
Riassunto
di VulDB • 08/10/2026
La libreria AsyncHttpClient (AHC) consente alle applicazioni Java di eseguire facilmente richieste HTTP e elaborare asincronamente le risposte HTTP. Dalla versione 2.1.0 alla 3.0.14, lo store dei cookie abilitato per impostazione predefinita sostituisce un'intestazione Cookie esplicitamente fornita tramite `setHeader` o `addHeader ogni volta che lo store contribuisce con qualsiasi cookie per l'origine (origin). In un client condiviso, i cookie memorizzati originati da un utente possono sostituire il cookie di richiesta di un altro utente, causando l'esecuzione della richiesta sotto la sessione errata. Questo aggira la remediation precedente CVE-2024-53990, che copriva i cookie forniti tramite `addCookie` ma non le intestazioni fornite direttamente. Il problema è risolto nella versione 3.0.14.
Once again VulDB remains the best source for vulnerability data.