- Son 7 gün
- CWE-74
CVE-2026-115779
Effect: Cookie attribute injection via domain, path, and name fields in @effect/platform makeCookie()
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Effect is a TypeScript framework that consists of several packages that work together to help build TypeScript applications. From @effect/platform 0.1.0 until 0.97.1 and effect 4.0.0-beta.0 until 4.0.0-beta.103, the name, domain, and path fields passed to makeCookie() allow semicolon delimiters that serializeCookie() writes verbatim into Set-Cookie headers. A caller that supplies attacker-controlled values can append cookie attributes, including a broader Domain or, when the caller has not set those options itself, SameSite=None or Max-Age. Encoded cookie values and CR or LF characters remain unaffected. This can widen a cookie's scope or add otherwise-unset cookie attributes. This issue is fixed in @effect/platform 0.97.1 and effect 4.0.0-beta.103.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @effect platform | Sürüm belirtilmemiş | – |
| Effect-TS effect | Sürüm belirtilmemiş | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…effect/security/advisories/GHSA-chp3-j5qr-2vfr Diğer
- github.com/Effect-TS/effect/pull/6763 Diğer
- github.com/Effect-TS/effect/pull/6765 Diğer
- github.com/…ommit/4a57af24011db1d66e947289d2f7ffc2074696d2 Diğer
- github.com/…ommit/5859b373b9be04d5037a594196b4743ad80379bd Diğer
- github.com/…TS/effect/releases/tag/@effect/platform@0.97.1 Diğer
- github.com/…t-TS/effect/releases/tag/effect@4.0.0-beta.103 Diğer
Kayıt geçmişi
- Yayımlandı