Më 8 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-jmqq-x5g9-9p2w (CVE-2026-107282) për një dobësi me rrezikshmëri kritike (CVSS 9.4) në paketën org.asynchttpclient:async-http-client të ekosistemit Maven. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- org.asynchttpclient:async-http-client (Maven) — versionet e prekura:
>= 3.0.0, <= 3.0.12; versioni me rregullim:3.0.13 - org.asynchttpclient:async-http-client (Maven) — versionet e prekura:
>= 2.0.0, <= 2.16.0; versioni me rregullim:2.16.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.4)
- CWE: CWE-319 (Cleartext Transmission of Sensitive Information), CWE-441 (Unintended Proxy or Intermediary ('Confused Deputy')), CWE-522 (Insufficiently Protected Credentials)
- Identifikuesit: GHSA-jmqq-x5g9-9p2w, CVE-2026-107282
Përmbledhja zyrtare
AsyncHttpClient: Ridërgimi i një kërkese te një host tjetër i dërgon hostit të ri kërkesën dhe kredencialet e hostit fillestar
Ndikimi: Kur një kërkesë ridërgohet te një host tjetër, klienti përditëson vetëm kërkesën aktuale, ndërsa kërkesa e destinacionit mbetet e drejtuar te hosti fillestar. Katër komponentë lexojnë këtë vlerë të papërditësuar dhe secili i dërgon hostit të dytë kërkesën e hostit të parë, kredencialet e tij ose të dyja.
Ridërgimi ndodh përmes funksioneve të zakonshme dhe të dokumentuara: një ResponseFilter që kthen një kërkesë tjetër, që është mënyra e mbështetur për kalimin te një destinacion rezervë në rast dështimi, si dhe mekanizmi i riprovimit pas një IOException. Sulmuesi nuk ka nevojë të shkaktojë…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin org.asynchttpclient:async-http-client, përditësojeni sa më shpejt në versionin 3.0.13 ose më të ri.
