Veille sécuritéBackend & données
P4Moyenne
CVE-2026-107285 affecte AsyncHttpClient : une requête WebSocket ws passant par un proxy peut transmettre au serveur d’origine la valeur Proxy-Authorization du proxy. Mettre à jour vers 3.0.12 ou 2.16.1, selon la branche utilisée.
Java
IdentifiantCVE-2026-107285
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.0.12 et 2.16.1
Source : NVD — CVE-2026-107285
Analyse technique
La décision d’ajouter l’authentification proxy et de construire la cible de requête tient compte du caractère sécurisé de l’URI; ws n’est pas reconnu comme URI sécurisée dans ce chemin.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-07T22:17:04.637Z, soit le 2026-10-08T00:17:04.637+02:00, dans la période demandée.
ImpactLes identifiants Basic du proxy peuvent être récupérés; les réponses Digest peuvent être rejouées ou attaquées hors ligne.
Versions affectéesAvant 3.0.12 et 2.16.1, selon la fiche NVD.
Version corrigée3.0.12 et 2.16.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
EPSS0,21% · percentile 9,7%
Publication2026-10-08T00:17:04.637+02:00
Mise à jour2026-10-08T22:35:31.200+02:00
Action recommandée
Mettre à jour AsyncHttpClient vers 3.0.12 ou 2.16.1, selon la branche.
Sources
Priorisation DFS : P4 · 1 source(s).