CVE-2026-102740 in async-http-client
Сводка
по VulDB • 15.10.2026
Библиотека AsyncHttpClient позволяет приложениям на Java выполнять HTTP-запросы и асинхронно обрабатывать HTTP-ответы. В версиях от 2.0.0 до 2.16.1 включительно, а также в версии 3.0.12 класс PropertiesBasedResumableProcessor сохраняет состояние возобновляемой загрузки по предсказуемому общему пути $java.io.tmpdir/ahc/ResumableAsyncHandler.properties с правами доступа по умолчанию и операциями работы с файлами, включающими следование символическим ссылкам. Локальный пользователь, имеющий доступ на чтение общего хранилища, может увидеть URL-адреса загрузки, включая встроенную информацию о пользователях или токены запросов (query tokens). Локальный пользователь, способный записывать данные в затронутое общее каталог хранилища или предварительно создавать его, может внедрить символическую ссылку, которую клиент будет использовать при сохранении состояния, что приведет к усечению и перезаписи целевого файла, доступного для записи процессу клиента. Путь файловой системы используется, когда ResumableAsyncHandler оборачивает другой AsyncHandler; в то же время конструкторы без аргументов используют обработчик no-op (noop) и не подвержены данной уязвимости. Проблема исправлена в версиях 2.16.1 и 3.0.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.