AsyncHttpClient : exposition d’informations et écrasement de fichier via l’état des téléchargements reprenables

Veille sécuritéBackend & données

P4Moyenne

La bibliothèque AsyncHttpClient peut exposer des URL de téléchargement et permettre à un utilisateur local d’écraser un fichier accessible au processus client lorsque le processeur de reprise utilise son stockage partagé prévisible. Le problème concerne les versions 2.0.0 à 2.16.0 et les versions antérieures à 3.0.12 dans la branche 3.x; mettez à niveau vers 2.16.1 ou 3.0.12.

IdentifiantCVE-2026-102740

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif2.16.1 and 3.0.12

Source : NVD — CVE-2026-102740

Analyse technique

Le défaut concerne PropertiesBasedResumableProcessor lorsqu’il est utilisé par ResumableAsyncHandler : l’état est écrit dans un chemin temporaire partagé avec des permissions par défaut et des opérations qui suivent les liens symboliques. Les constructeurs sans argument utilisent un processeur sans effet et ne sont pas concernés.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-15, hors période, mais sa modification substantielle du 2026-10-16T20:02:37.630Z est dans la période; l’item est retenu pour ce changement.

ImpactUn utilisateur local ayant accès au stockage partagé peut consulter des URL de téléchargement, potentiellement avec des jetons, ou faire écraser un fichier accessible au processus client.

Versions affectées2.0.0 à 2.16.0; versions 3.x antérieures à 3.0.12

Version corrigée2.16.1 and 3.0.12

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.8

EPSS0,10% · percentile 0,8%

Publication2026-10-15T18:17:21.613Z

Mise à jour2026-10-16T20:02:37.630Z

Action recommandée

Mettre à niveau vers AsyncHttpClient 2.16.1 ou 3.0.12. Vérifier l’usage de ResumableAsyncHandler et protéger le répertoire temporaire partagé contre l’accès ou la création de liens par des utilisateurs locaux.

Sources

NVD — CVE-2026-102740

Priorisation DFS : P4 · 1 source(s).