CVE-2026-102740

Nome do Software Vulnerável e Versões Afetadas AsyncHttpClient versões 2.0.0 até 2.16.0 AsyncHttpClient versões 3.0.0 até 3.0.11

Descrição O PropertiesBasedResumableProcessor armazena o estado de download retomável em um caminho compartilhado previsível $java.io.tmpdir/ahc/ResumableAsyncHandler.properties com permissões padrão e operações de arquivo que seguem links. Isso ocorre quando o ResumableAsyncHandler decora outro AsyncHandler. Um usuário local com acesso de leitura a este armazenamento compartilhado pode visualizar URLs de download, que podem conter informações de usuário incorporadas ou tokens de consulta. Além disso, um usuário local com acesso de escrita ao diretório de armazenamento compartilhado pode criar um link simbólico que o cliente segue ao salvar o estado, permitindo que o usuário trunque e sobrescreva arquivos de destino graváveis pelo processo do cliente.

Recomendações Atualizar para a versão 2.16.1. Atualizar para a versão 3.0.12.