CVE-2026-55688

AsyncHttpClient (AHC) kütüphanesi, Java uygulamalarının kolayca HTTP istekleri yürütmesine ve HTTP yanıtlarını asenkron olarak işlemesine olanak tanır. 2.0.0 ile 2.16.0 arası ve 3.0.0.Beta1 ile 3.0.11 arası sürümlerde, ThreadSafeCookieStore, yanıt veren ana bilgisayarın söz konusu alan adı için çerez ayarlamaya yetkili olup olmadığını doğrulamadan bir çerezi Domain özniteliği değeri altında saklamaktadır; bu durum bir cookie tossing / cookie injection sorununa yol açmaktadır. Bu nedenle, istemcinin bağlandığı bir ana bilgisayar, ilgisiz bir alan adına kapsamlanmış bir çerez yerleştirebilir ve istemci daha sonra bu alan adına yapılan isteklerde söz konusu çerezi gönderir. Hem saldırgan etkisinde olan bir ana bilgisayara hem de güvenilir bir ana bilgisayara erişmek için tek bir AsyncHttpClient örneğini -ve dolayısıyla varsayılan, paylaşılan CookieStore'u- kullanan uygulamalar etkilenmektedir. Bu sorun 2.16.0 ve 3.0.11 sürümlerinde düzeltilmiştir.