CVE-2026-115779 in effect platform
الملخص
بحسب VulDB • 03/11/2026
يُعد Effect إطار عمل مكتوب بلغة TypeScript يتكون من عدة حزم تعمل معًا لمساعدة المطورين في بناء تطبيقات TypeScript. بدءًا من الإصدار 0.1.0 وحتى 0.97.1 للحزمة @effect/platform، ومن الإصدار 4.0.0-beta.0 حتى 4.0.0-beta.103 للحزمة effect، تسمح حقول الاسم (name)، والنطاق (domain)، والمسار (path) التي تُمرَّر إلى دالة makeCookie() باستخدام فواصل منقوطة (;). تقوم الدالة serializeCookie() بكتابة هذه الفواصل حرفيًا في رؤوس Set-Cookie. يمكن لمقدّم الاستدعاء الذي يمدّد القيم المتحكم فيها من قبل المهاجم بإضافة سمات ملفات تعريف الارتباط (cookie attributes)، بما في ذلك نطاق أوسع (Domain) أو، عندما لا يكون مقدّم الاستدعاء قد حدد تلك الخيارات بنفسه، إضافة SameSite=None أو Max-Age. تظل قيم ملفات تعريف الارتباط المشفرة وأحرف CR و LF دون تأثر. يمكن أن يؤدي هذا إلى توسيع نطاق ملف تعريف الارتباط أو إضافة سمات لملف تعريف الارتباط لم تكن محددة سابقًا. تم إصلاح هذه المشكلة في الإصدار 0.97.1 من @effect/platform والإصدار 4.0.0-beta.103 من effect.
Once again VulDB remains the best source for vulnerability data.