p PatchFirst

CVE-2026-45300

CVE-2026-45300 · async-http-client: Cookie header not stripped on cross-origin redirect

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. Versions on the 2.x branch prior to 2.15.0 and the 3.x branch prior to 3.0.10 leak `Cookie` headers to cross-origin redirect targets. When following a redirect to a different origin, the `propagatedHeaders()` method in `Redirect30xInterceptor.java` strips `Authorization` and `Proxy-Authorization` headers but does not strip the `Cookie` header, causing session cookies and other sensitive cookie values to be sent to attacker-controlled servers. Versions 2.15.0 and 3.0.10 patch the issue.

CVSS 7.4 · Élevée · EPSS 0,4%

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • async-http-client

    Versions du logiciel
    • >= 3.0.0.Beta1, < 3.0.10: Concernée
    • >= 2.0.0, < 2.15.0: Concernée

    Aucun correctif publié

  • async-http-client Ubuntu:Pro:14.04:LTS

    Versions du logiciel
    • 1.6.5-1
    • 1.6.5-2
    • 1.6.5-2ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:16.04:LTS

    Versions du logiciel
    • 1.6.5-4
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.6.5-4
    • 1.6.5-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 2.6.0-1
    • 2.6.0-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:22.04:LTS

    Versions du logiciel
    • 2.12.2-1
    • 2.12.3-1
    • 2.12.3-1ubuntu0.22.04.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:24.04:LTS

    Versions du logiciel
    • 2.12.3-1
    • 2.12.3-1ubuntu0.24.04.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:25.10

    Versions du logiciel
    • 2.12.3-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:26.10

    Versions du logiciel
    • 2.12.3-1ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:26.04:LTS

    Versions du logiciel
    • 2.12.3-1
    • 2.12.3-1ubuntu1
    • 2.12.3-1ubuntu1.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →