CVE-2026-107226
Publiée le 2026-10-12 · Dernière modification le 2026-10-16
Les applications Java utilisant la bibliothèque AsyncHttpClient (versions 2.1.0 à 3.0.13) sont affectées par une faille dans la gestion des cookies sécurisés. Un attaquant capable de contrôler une réponse HTTP en texte clair sur le même site peut implanter ou écraser des cookies sécurisés, ce qui pourrait lui permettre de détourner des sessions ou de contourner les protections CSRF. L'exécution de cette attaque nécessite un accès réseau et présente une complexité technique élevée, mais elle ne requiert ni interaction de l'utilisateur ni authentification.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. From 2.1.0 until 3.0.14, the default ThreadSafeCookieStore does not retain whether a Set-Cookie response used a secure transport. It accepts Secure cookies received over plaintext and permits insecure cookies to overlay or delete existing Secure cookies with matching scope. An attacker controlling a plaintext same-site response can consequently plant, replace, or remove cookie state later sent to an HTTPS origin, enabling session fixation, CSRF-token replacement, or loss of security-relevant state. This issue is fixed in version 3.0.14.