PT-2026-26681
CVE-2026-32887
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Effect الأقدم من 3.20.0
إصدارات @effect/rpc الأقدم من 0.72.1
إصدارات @effect/platform الأقدم من 0.94.2
الوصف
Effect هو إطار عمل TypeScript يُستخدم لإنشاء تطبيقات TypeScript. يوجد عيب في الإصدارات الأقدم من 3.20.0، وتحديدًا عند استخدام
RpcServer.toWebHandler أو HttpApp.toWebHandlerRuntime داخل معالج مسار في Next.js App Router. تسمح هذه المشكلة لواجهات برمجة التطبيقات (APIs) في Node.js التي تعتمد على AsyncLocalStorage، عند استدعائها من داخل ألياف Effect، بقراءة سياق طلب متزامن آخر أو عدم قراءة أي سياق على الإطلاق. في بيئة الإنتاج، قد يؤدي هذا إلى فشل في المصادقة، حيث تُرجع دالة auth() في @clerk/nextjs/server جلسة مستخدم مختلفة. السبب الجذري هو أن MixedScheduler في Effect يقوم بتجميع استمرارات الألياف (fiber continuations) وتفريغها ضمن مهمة صغيرة واحدة أو استدعاء مرتد للمؤقت، وراثًا سياق AsyncLocalStorage من الطلب الأول الذي أطلق دورة التفريغ، بدلاً من الطلب المالك للألياف. قد يؤدي هذا إلى استخدام سياق غير صحيح للعمليات التي تعتمد على AsyncLocalStorage، مثل المصادقة وإدارة الجلسات. تظهر المشكلة في ظل الأحمال المتزامنة ويصعب تشخيصها في بيئات التطوير المحلية. يتمثل الحل البديل في التقاط القيم التي تعتمد على AsyncLocalStorage قبل الدخول إلى بيئة تشغيل Effect وتمريرها عبر نظام سياق Effect.التوصيات
التحديث إلى Effect
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾