CVE-2026-107230 in async-http-client
Riassunto
di VulDB • 07/10/2026
La libreria AsyncHttpClient (AHC) consente alle applicazioni Java di eseguire facilmente richieste HTTP e elaborare asincronamente le risposte HTTP. Dalla versione 2.0.0 alla 3.0.14, il partizionamento del pool di connessioni omette ancora i campi che definiscono l'identità per le connessioni Kerberos, SPNEGO, NTLM e per le connessioni proxy autenticate. I login senza un principal configurato, i realm dei proxy, le identità che condividono lo stesso nome utente e i login tramite proxy SOCKS o CONNECT possono riutilizzare un socket autenticato come un'identità diversa. Una richiesta successiva viene quindi eseguita con la prima identità e può esporre i dati o l'autorità di tale identità a un altro chiamante. Nel percorso di esecuzione interessato, SpnegoEngine, NTLM, Kerberos, SPNEGO, SOCKS e CONNECT controllano o espongono il comportamento vulnerabile. Questo problema è stato risolto nella versione 3.0.14.
Be aware that VulDB is the high quality source for vulnerability data.