Veille sécuritéBackend & données
P4Moyenne
Dans AsyncHttpClient, le `ThreadSafeCookieStore` par défaut ne conserve pas correctement l’information de transport sécurisé des cookies et permet à des réponses HTTP non chiffrées de les définir, remplacer ou supprimer. Cela peut compromettre l’état de session ou des jetons envoyés ensuite à une origine HTTPS ; le problème est corrigé en version 3.0.14.
Java
IdentifiantCVE-2026-107226
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.0.14
Source : NVD — CVE-2026-107226
Analyse technique
Un attaquant contrôlant une réponse HTTP en clair de même site peut injecter, remplacer ou supprimer des cookies ayant la même portée, affectant notamment les sessions et les jetons CSRF.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-12T19:16:37.880Z, dans la période demandée (+02:00) ; l’événement retenu est la publication de la vulnérabilité et de la version corrigée.
ImpactUne réponse HTTP en clair contrôlée par un attaquant peut influencer les cookies ensuite utilisés pour communiquer avec une origine HTTPS.
Versions affectéesAsyncHttpClient à partir de 2.1.0 et avant 3.0.14
Version corrigée3.0.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
Publication2026-10-12T19:16:37.880Z
Mise à jour2026-10-12T19:16:37.880Z
Action recommandée
Mettre à niveau vers AsyncHttpClient 3.0.14 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).