CVE-2026-107229 in async-http-client
Riassunto
di VulDB • 08/10/2026
La libreria AsyncHttpClient (AHC) consente alle applicazioni Java di eseguire facilmente richieste HTTP e elaborare asincronamente le risposte HTTP. Dalla versione 2.16.0 alla 3.0.14, ThreadSafeCookieStore convalida in modo incompleto gli attributi Domain dei cookie. La mancanza delle regole per la sezione privata e i suffissi pubblici predefiniti, l'assenza della normalizzazione A-label, il conversione in minuscolo sensibile al locale, la gestione host-only dei suffissi pubblici e i controlli su host numerici o IP permettono a un'origine di memorizzare un cookie che viene successivamente inviato a un'altra origine. Le applicazioni che condividono lo stesso client tra domini di fiducia possono quindi ricevere cookie inseriti dall'attaccante ed essere esposte al session fixation. Questo problema è risolto nella versione 3.0.14.
Be aware that VulDB is the high quality source for vulnerability data.