CVE-2026-45300

Nome do Software Vulnerável e Versões Afetadas async-http-client versões anteriores a 2.15.0 async-http-client versões anteriores a 3.0.10

Description Existe um problema de divulgação de informações onde cabeçalhos Cookie são vazados para alvos de redirecionamento de origem cruzada. Ao seguir um redirecionamento através de um limite de segurança, como uma origem diferente ou um downgrade de HTTPS para HTTP, a função propagatedHeaders() em Redirect30xInterceptor.java não remove os cabeçalhos Cookie. Embora os cabeçalhos Authorization e Proxy-Authorization sejam removidos, cookies de sessão e outros valores sensíveis são encaminhados para o alvo do redirecionamento, que pode estar sob controle de um invasor. Isso pode levar ao sequestro de sessão, roubo de tokens CSRF, roubo de chaves de API e vazamentos de privacidade.

Recommendations Atualize para a versão 2.15.0 ou posterior. Atualize para a versão 3.0.10 ou posterior.