Veille sécuritéFrontend
P4Moyenne
Des points-virgules dans les champs name, domain ou path transmis à makeCookie() peuvent être écrits sans échappement dans l’en-tête Set-Cookie. Si ces valeurs sont contrôlables par un attaquant, elles peuvent ajouter ou élargir certains attributs du cookie.
TypeScript
IdentifiantCVE-2026-115779
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif@effect/platform 0.97.1 et effect 4.0.0-beta.103
Source : NVD — CVE-2026-115779
Analyse technique
La sérialisation de cookie écrit les séparateurs point-virgule sans échappement dans les champs indiqués. Les valeurs de cookie encodées et les caractères CR/LF ne sont pas concernés selon la fiche candidate.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication NVD le 3 novembre 2026 à 21:17:02.190Z, soit le 3 novembre à 23:17:02.190 +02:00, dans la période. La recherche a consulté la page des avis Effect-TS sur GitHub, sans y trouver de confirmation spécifique; les détails techniques et versions proviennent donc de la fiche NVD fournie.
ImpactAjout ou élargissement possible d’attributs de cookie, notamment Domain, SameSite ou Max-Age dans les conditions décrites.
Versions affectées@effect/platform de 0.1.0 à 0.97.0 et effect de 4.0.0-beta.0 à 4.0.0-beta.102.
Version corrigée@effect/platform 0.97.1 et effect 4.0.0-beta.103
ContournementNe pas transmettre de valeurs contrôlables par l’utilisateur à ces champs; valider et rejeter les séparateurs.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-11-03T21:17:02.190Z
Mise à jour2026-11-03T21:17:02.190Z
Détection / vérification
Rechercher les appels à makeCookie() dont les champs name, domain ou path sont alimentés par des données non fiables.
Action recommandée
Mettre à niveau les paquets concernés vers les versions corrigées et valider les champs de cookie transmis à makeCookie().
Sources
Priorisation DFS : P4 · 1 source(s).