p PatchFirst

CVE-2026-107280

CVE-2026-107280 · AsyncHttpClient: Cookie Domain attribute is not checked against the public suffix list, so a cookie can be set for co.uk

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. Prior to 3.0.13 and 2.16.1, ThreadSafeCookieStore validates Domain attributes with domain matching but does not reject public suffixes. A host beneath a suffix such as co.uk can set a cookie for that suffix, after which the shared cookie store sends it to unrelated hosts under the suffix. This can inject or overwrite session-relevant cookie values across origins. This issue is fixed in versions 3.0.13 and 2.16.1.

CVSS 6.9 · Media · EPSS 0,3%

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • async-http-client

    Versiones
    • >= 3.0.0, < 3.0.13: Afectada
    • >= 2.0.0, < 2.16.1: Afectada

    Sin corrección publicada

  • async-http-client Debian:12

    Versiones
    • 2.12.3-1
    • 2.12.3-1+deb12u1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:Pro:14.04:LTS

    Versiones
    • 1.6.5-1
    • 1.6.5-2
    • 1.6.5-2ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:16.04:LTS

    Versiones
    • 1.6.5-4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:18.04:LTS

    Versiones
    • 1.6.5-4
    • 1.6.5-5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:Pro:20.04:LTS

    Versiones
    • 2.6.0-1
    • 2.6.0-1ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:22.04:LTS

    Versiones
    • 2.12.2-1
    • 2.12.3-1
    • 2.12.3-1ubuntu0.22.04.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:24.04:LTS

    Versiones
    • 2.12.3-1
    • 2.12.3-1ubuntu0.24.04.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:26.10

    Versiones
    • 2.12.3-1ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • async-http-client Ubuntu:26.04:LTS

    Versiones
    • 2.12.3-1
    • 2.12.3-1ubuntu1
    • 2.12.3-1ubuntu1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →