AsyncHttpClient: уязвимости CVE-2026-107282 и ещё четыре в одном патче

В Java-библиотеке AsyncHttpClient закрыли пять уязвимостей, включая повтор запроса с учётными данными на чужой хост (CVE-2026-107282) и переиспользование NTLM-соединения под другой учётной записью (CVE-2026-107281). Исправления вышли в версиях 3.0.13 и 2.16.1.

• CVE-2026-107282: при повторе запроса на другой хост уходят Authorization и тело от исходного хоста
• CVE-2026-107281: пул HTTP/1.1 не учитывает принципала при NTLM/Negotiate, соединение достаётся другой учётке
• CVE-2026-107283: Digest-нонс генерируется через ThreadLocalRandom, а не криптостойкий источник
• Исправления в 3.0.13 и 2.16.1; для WebSocket и прокси — в 3.0.12 и 2.16.1