CVE-2026-107226

AsyncHttpClient (AHC) kitabxanası Java tətbiqlərinə HTTP sorğularını asanlıqla yerinə yetirməyə və HTTP cavablarını asinxron şəkildə emal etməyə imkan verir. 2.1.0 versiyasından 3.0.14 versiyasına qədər olan dövrdə standart ThreadSafeCookieStore, Set-Cookie cavabının təhlükəsiz nəqliyyatdan istifadə edib-etmədiyini yadda saxlamır. O, mətn formatında (plaintext) qəbul edilmiş Secure kukiləri qəbul edir və təhlükəsiz olmayan kukilərin eyni əhatə dairəsinə malik mövcud Secure kukilərinin üzərinə yazılmasına və ya onları silməsinə icazə verir. Nəticədə, eyni saytda mətn formatlı cavabı idarə edən hücumçu, daha sonra HTTPS mənşəli ünvanına göndərilən kuki vəziyyətini yerləşdirə, dəyişdirə və ya silə bilər ki, bu da sessiyanın fiksasiyasına, CSRF-tokenin dəyişdirilməsinə və ya təhlükəsizliklə bağlı vəziyyətin itirilməsinə şərait yaradır. Bu problem 3.0.14 versiyasında düzəldilmişdir.