CVE-2026-107280
AsyncHttpClient: Cookie Domain attribute is not checked against the public suffix list, so a cookie can be set for co.uk
CVSS 3.1Medium
6.9/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.0.13, 2.16.1
Обновите AsyncHttpClient до версии 2.16.1 или 3.0.13.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
AsyncHttpClient не сверяет атрибут Domain cookie с Public Suffix List, допуская установку cookie на публичные суффиксы.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Компонент ThreadSafeCookieStore выполняет сопоставление доменов без отсечения публичных суффиксов (например, co.uk). Хост, расположенный под суффиксом, может задать cookie для всего домена верхнего уровня, после чего клиент начинает отправлять его всем несвязанным хостам этой зоны.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Фиксация сессий и перезапись cookie: атакующий может внедрять и подменять чужие сессионные токены между изолированными источниками.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
AsyncHttpClientasync-http-client
>= 3.0.0➔Fix: 3.0.13
AsyncHttpClientasync-http-client
>= 2.0.0➔Fix: 2.16.1
——
>= 3.0.0➔Fix: 3.0.13
——
>= 2.0.0➔Fix: 2.16.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/AsyncHttpClient/async-http-client/security/advisories/GHSA-f9m8-cv68-674w
- github.comhttps://github.com/AsyncHttpClient/async-http-client/commit/330267895fe0bdb41bbd027ea6b151d38ee7c23d
- github.comhttps://github.com/AsyncHttpClient/async-http-client/commit/d1f0ccec417092098d40242fee7dfac84bb3c21f
- github.comhttps://github.com/AsyncHttpClient/async-http-client/releases/tag/async-http-client-project-2.16.1
- github.comhttps://github.com/AsyncHttpClient/async-http-client/releases/tag/async-http-client-project-3.0.13
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-107280: AsyncHttpClient: Cookie Domain attribute is not checked against the public suffix list, so a cookie can be set for co.uk. URL: https://cve.futuretools.ru/cve/CVE-2026-107280
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_107280,
title = {{CVE-2026-107280: AsyncHttpClient: Cookie Domain attribute is not checked against the public suffix list, so a cookie can be set for co.uk}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107280}},
note = {Оперативный инженерный анализ киберугроз}
}