PT-2026-41727 · Unknown · Async Http Client

Publicado 2026-05-18 · Atualizado 2026-06-08 · CVE-2026-45300

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas async-http-client versões anteriores a 2.15.0 async-http-client versões anteriores a 3.0.10

Description Existe um problema de divulgação de informações onde cabeçalhos Cookie são vazados para alvos de redirecionamento de origem cruzada. Ao seguir um redirecionamento através de um limite de segurança, como uma origem diferente ou um downgrade de HTTPS para HTTP, a função propagatedHeaders() em Redirect30xInterceptor.java não remove os cabeçalhos Cookie. Embora os cabeçalhos Authorization e Proxy-Authorization sejam removidos, cookies de sessão e outros valores sensíveis são encaminhados para o alvo do redirecionamento, que pode estar sob controle de um invasor. Isso pode levar ao sequestro de sessão, roubo de tokens CSRF, roubo de chaves de API e vazamentos de privacidade.

Recommendations Atualize para a versão 2.15.0 ou posterior. Atualize para a versão 3.0.10 ou posterior.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-45300

GHSA-FMXF-PM6P-7XGM

Produtos afetados

Async Http Client

Referências · 16

• 🔥 https://github.com/AsyncHttpClient/async-http-client/security/advisories/GHSA-fmxf-pm6p-7xgm · Exploit
• https://github.com/AsyncHttpClient/async-http-client/commit/3b0e3e9e · Correção
• https://github.com/AsyncHttpClient/async-http-client/releases/tag/async-http-client-project-3.0.10 · Nota
• https://github.com/AsyncHttpClient/async-http-client · Nota
• https://twitter.com/VulmonFeeds/status/2063083647796687165 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45300 · Nota de Segurança
• https://twitter.com/CVEnew/status/2063204998301843786 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-45300 · Aviso do Fabricante
• https://t.me/cveNotify/166574 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-45300 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-45300 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-45300 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2056431673705717844 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-45300 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-fmxf-pm6p-7xgm · Aviso do Fabricante