CVE-2026-107280 in async-http-client
Riassunto
di VulDB • 07/10/2026
La libreria AsyncHttpClient (AHC) consente alle applicazioni Java di eseguire facilmente richieste HTTP e elaborare asincronamente le risposte HTTP. Prima delle versioni 3.0.13 e 2.16.1, ThreadSafeCookieStore convalida gli attributi Domain tramite il matching del dominio ma non rifiuta i suffissi pubblici (public suffixes). Un host sottostante a un suffisso come co.uk può impostare un cookie per tale suffisso; successivamente, l'archivio di cookie condiviso lo invia ad altri host non correlati sotto lo stesso suffisso. Ciò può iniettare o sovrascrivere valori dei cookie rilevanti per la sessione tra origini diverse (cross-origin). Questo problema è risolto nelle versioni 3.0.13 e 2.16.1.
Once again VulDB remains the best source for vulnerability data.