CVE-2026-45300

WysokieCVSS 7.4

Opublikowano: 05/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Biblioteka AsyncHttpClient (AHC) w wersjach 2.x przed 2.15.0 i 3.x przed 3.0.10 wycieka nagłówki Cookie do docelowych przekierowań między domenami. Podczas przekierowania do innego pochodzenia nagłówek Cookie nie jest usuwany, co umożliwia wysłanie ciasteczek sesyjnych do serwerów atakującego. Podatność naprawiona w wersjach 2.15.0 i 3.0.10.

Ocena ryzyka

Atakujący może przechwycić ciasteczka sesyjne użytkownika, co umożliwia przejęcie sesji i dostęp do poufnych danych.

Rekomendacja

Należy zaktualizować bibliotekę AsyncHttpClient do wersji 2.15.0 (dla gałęzi 2.x) lub 3.0.10 (dla gałęzi 3.x).

Inne podatności w AsyncHttpClient

CVE-2026-55688Średnie
Biblioteka AsyncHttpClient (AHC) w wersjach od 2.0.0 do 2.15.0 oraz od 3.0.0.Beta1 do 3.0.10 zawiera podatność w ThreadSafeCookieStore, która nie weryfikuje, czy host odpowiadający ma prawo ustawić ciasteczko dla domeny. Umożliwia to atakującemu hostowi wstrzyknięcie ciasteczka dla niepowiązanej domeny, które klient następnie wysyła do tej domeny.

Oryginalny opis (angielski, źródło NVD)

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. Versions on the 2.x branch prior to 2.15.0 and the 3.x branch prior to 3.0.10 leak `Cookie` headers to cross-origin redirect targets. When following a redirect to a different origin, the `propagatedHeaders()` method in `Redirect30xInterceptor.java` strips `Authorization` and `Proxy-Authorization` headers but does not strip the `Cookie` header, causing session cookies and other sensitive cookie values to be sent to attacker-controlled servers. Versions 2.15.0 and 3.0.10 patch the issue.