AsyncHttpClient : remplacement de l’en-tête Cookie dans les clients partagés

Veille sécuritéBackend & données

P4Moyenne

Dans un client partagé, le magasin de cookies activé par défaut peut remplacer un en-tête Cookie explicitement défini par setHeader ou addHeader dès qu’il fournit lui-même un cookie pour l’origine. Des cookies appartenant à un utilisateur peuvent ainsi être envoyés dans la requête d’un autre utilisateur, entraînant une confusion de session ; le défaut est corrigé en 3.0.14.

IdentifiantCVE-2026-107228

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.0.14

Source : CVE-2026-107228 — NVD

Analyse technique

Le problème concerne les cookies explicitement fournis dans l’en-tête et complète la correction antérieure CVE-2024-53990, qui couvrait les cookies ajoutés avec addCookie.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-07T21:17:14.457Z, dans la période considérée.

ImpactUne requête peut être exécutée avec la session d’un autre utilisateur.

Versions affectées2.1.0 à 3.0.13

Version corrigée3.0.14

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

Publication2026-10-07T21:17:14.457Z

Mise à jour2026-10-07T21:17:14.457Z

Action recommandée

Mettre à jour AsyncHttpClient vers 3.0.14 ou une version ultérieure. Éviter de partager un même client entre utilisateurs ou domaines de confiance distincts avant la mise à jour.

Sources

CVE-2026-107228 — NVD

Priorisation DFS : P4 · 1 source(s).