p PatchFirst

CVE-2026-107226

CVE-2026-107226 · AsyncHttpClient: Cookies received over plaintext HTTP can plant, overwrite or delete Secure cookies set over HTTPS

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. From 2.1.0 until 3.0.14, the default ThreadSafeCookieStore does not retain whether a Set-Cookie response used a secure transport. It accepts Secure cookies received over plaintext and permits insecure cookies to overlay or delete existing Secure cookies with matching scope. An attacker controlling a plaintext same-site response can consequently plant, replace, or remove cookie state later sent to an HTTPS origin, enabling session fixation, CSRF-token replacement, or loss of security-relevant state. This issue is fixed in version 3.0.14.

CVSS 6.8 · Media · EPSS 0,3%

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • async-http-client

    Versiones
    • >= 2.1.0, <= 2.16.1: Afectada
    • >= 3.0.0, < 3.0.14: Afectada

    Sin corrección publicada

  • async-http-client Debian:12

    Versiones
    • 2.12.3-1
    • 2.12.3-1+deb12u1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:Pro:14.04:LTS

    Versiones
    • 1.6.5-1
    • 1.6.5-2
    • 1.6.5-2ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:16.04:LTS

    Versiones
    • 1.6.5-4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:18.04:LTS

    Versiones
    • 1.6.5-4
    • 1.6.5-5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:Pro:20.04:LTS

    Versiones
    • 2.6.0-1
    • 2.6.0-1ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:22.04:LTS

    Versiones
    • 2.12.2-1
    • 2.12.3-1
    • 2.12.3-1ubuntu0.22.04.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:24.04:LTS

    Versiones
    • 2.12.3-1
    • 2.12.3-1ubuntu0.24.04.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:26.10

    Versiones
    • 2.12.3-1ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:26.04:LTS

    Versiones
    • 2.12.3-1
    • 2.12.3-1ubuntu1
    • 2.12.3-1ubuntu1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →