CVE-2026-55688
Təsvir
AsyncHttpClient (AHC) kitabxanası Java tətbiqlərinə HTTP sorğularını asanlıqla icra etməyə və HTTP cavablarını asinxron emal etməyə imkan verir. 2.0.0-dan 2.16.0-dan əvvəlki versiyalarda və 3.0.0.Beta1-dən 3.0.11-dən əvvəlki versiyalarda ThreadSafeCookieStore kuki-ni Domain atributunun dəyəri altında saxlayırdı və cavab verən hostun həmin domen üçün kuki təyin etməyə icazəli olduğunu yoxlamırdı ki, bu da kuki atma / kuki inyeksiyası probleminə gətirib çıxarır. Buna görə də müştərinin qoşulduğu host əlaqəsiz bir domenə aid kuki yerləşdirə bilər və müştəri sonradan həmin domenə edilən sorğularda bu kuki-ni göndərəcək. Həm təsir altına düşə bilən hosta, həm də etibarlı hosta çatmaq üçün tək bir AsyncHttpClient nüsxəsindən - və beləliklə defolt, paylaşılan CookieStore-dan - istifadə edən tətbiqlər təsirlənir. Bu problem 2.16.0 və 3.0.11 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- org.asynchttpclient:async-http-client3.0.11, 2.16.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.asynchttpclient:async-http-clientMaven | 3.0.0.Beta1 ≤ v < 3.0.11, 2.0.0 ≤ v < 2.16.0 | 3.0.11, 2.16.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.