CVE-2026-45300
Açıklama
AsyncHttpClient (AHC) kütüphanesi, Java uygulamalarının kolayca HTTP istekleri yürütmesine ve HTTP yanıtlarını asenkron olarak işlemesine olanak tanır. 2.x dalının 2.15.0 öncesindeki sürümleri ile 3.x dalının 3.0.10 öncesindeki sürümleri, `Cookie` başlıklarını farklı kökenli (cross-origin) yönlendirme hedeflerine sızdırmaktadır. Farklı bir kökene yapılan yönlendirme takip edilirken, `Redirect30xInterceptor.java` dosyasındaki `propagatedHeaders()` yöntemi `Authorization` ve `Proxy-Authorization` başlıklarını temizlemekte ancak `Cookie` başlığını temizlememektedir; bu durum oturum çerezlerinin ve diğer hassas çerez değerlerinin saldırgan kontrollü sunuculara gönderilmesine neden olmaktadır. 2.15.0 ve 3.0.10 sürümleri bu sorunu gidermektedir.
Nasıl düzeltilir
- asynchttpclient_project async-http-client2.15.0, 3.0.10 ya da sonraki bir sürüm
- org.asynchttpclient:async-http-client3.0.10, 2.15.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| asynchttpclient_project async-http-client | 2.0.0 ≤ v < 2.15.0, 3.0.0 ≤ v < 3.0.10 | 2.15.0, 3.0.10 |
| org.asynchttpclient:async-http-clientMaven | 3.0.0.Beta1 ≤ v < 3.0.10, 2.0.0 ≤ v < 2.15.0 | 3.0.10, 2.15.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.