CVE-2026-107285 in async-http-client
Sumário
de VulDB • 07/10/2026
A biblioteca AsyncHttpClient (AHC) permite que aplicações Java executem facilmente requisições HTTP e processem assincronamente as respostas HTTP. Antes das versões 3.0.12 e 2.16.1, uma requisição ws proxied é realizada através de CONNECT, mas NettyRequestFactory.newNettyRequest e requestUri decidem se devem anexar autenticação do proxy e um target em formato absoluto apenas com base na segurança da URI. Como ws não está marcado como seguro, a atualização WebSocket tunelada enviada para a origem inclui o valor Proxy-Authorization do proxy. As credenciais Basic são diretamente recuperáveis e as respostas Digest podem ser replayadas ou quebradas offline. Este problema foi corrigido nas versões 3.0.12 e 2.16.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.