Le journal DFS
Java
-
AsyncHttpClient : réutilisation inter-identités de connexions NTLM et Negotiate
P3 · Élevée · CVE-2026-107281 — CVE-2026-107281 affecte AsyncHttpClient : le pool HTTP/1.1 peut réutiliser une connexion authentifiée par NTLM ou Negotiate pour une requête portant…
-
AsyncHttpClient : vérification Digest mutuelle omise avec auth-int
P3 · Élevée · CVE-2026-107279 — CVE-2026-107279 concerne AsyncHttpClient 3.0.12 : une réponse Digest utilisant uniquement qop=auth-int peut faire accepter une authentification mutuelle qui n’a pas…
-
AsyncHttpClient : requête et identifiants envoyés après un CONNECT rejeté
P3 · Élevée · CVE-2026-107232 — CVE-2026-107232 affecte AsyncHttpClient : après le rejet d’un tunnel CONNECT, le client peut envoyer une requête destinée à l’origine, avec…
-
AsyncHttpClient : rétrogradation d’un défi Digest vers Basic
P3 · Élevée · CVE-2026-107231 — CVE-2026-107231 affecte AsyncHttpClient : un défi Digest sans nonce exploitable peut être interprété comme Basic et provoquer l’envoi du nom…
-
AsyncHttpClient : partage de connexions entre identités authentifiées
P3 · Élevée · CVE-2026-107230 — CVE-2026-107230 affecte AsyncHttpClient : des connexions authentifiées peuvent être réutilisées entre identités, notamment avec Kerberos, SPNEGO, NTLM ou des proxys…
-
XSS stockée via le type MIME des Blob dans les applications JHipster générées
P3 · Élevée · CVE-2026-107303 — Une faille de XSS stockée pouvait toucher les applications générées par generator-jhipster 9.2.0 comportant une entité avec un champ Blob…
-
Injection SQL via le paramètre de tri des applications réactives générées par JHipster
P3 · Élevée · CVE-2026-107375 — JHipster générait une injection SQL dans le paramètre de tri des applications réactives utilisant Spring WebFlux, Spring Data R2DBC et…
-
AsyncHttpClient : relecture inter-hôtes avec contexte d’origine obsolète
P3 · Critique · CVE-2026-107282 — CVE-2026-107282 affecte AsyncHttpClient : lors d’une relecture vers un autre hôte, le contexte de requête peut rester associé à l’origine…
-
AsyncHttpClient : remplacement de l’en-tête Cookie dans les clients partagés
P4 · Moyenne · CVE-2026-107228 — Dans un client partagé, le magasin de cookies activé par défaut peut remplacer un en-tête Cookie explicitement défini par setHeader…
-
AsyncHttpClient : validation insuffisante du domaine des cookies
P4 · Moyenne · CVE-2026-107229 — La validation incomplète des attributs Domain par ThreadSafeCookieStore peut permettre à une origine de déposer un cookie qui sera ensuite…