JVNDB-2026-011034

EffectfulのEffectにおける競合状態に関する脆弱性

Effectは、TypeScriptアプリケーションの構築を支援するために連携して動作する複数のパッケージで構成されたTypeScriptフレームワークです。バージョン3.20.0以前では、Next.jsのApp Routerのルートハンドラ内で`RpcServer.toWebHandler`（または`HttpApp.toWebHandlerRuntime`）を使用した場合、Effectのファイバー内から呼び出されるNode.jsの`AsyncLocalStorage`依存のAPIが別の同時リクエストのコンテキストを読み取ってしまうか、まったくコンテキストを読み取れない問題がありました。実際の運用トラフィックの下では、`@clerk/nextjs/server`の`auth()`が異なるユーザーのセッションを返すことがありました。バージョン3.20.0でこの問題は修正されています。

Effectful

• Effect 3.20.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Bug: `AsyncLocalStorage` context lost/contaminated inside Effect fibers under concurrent load with RPC  Advisory  Effect-TS/effect  GitHub

1. 競合状態(CWE-362) [その他]

1. CVE-2026-32887

1. National Vulnerability Database (NVD) : CVE-2026-32887

• [2026年04月16日]
    掲載