BuidlZone-Labs/zicket-web

Shared Mutable Module State Leaks Data Across SSR Requests

Chiusa

#174 aperta il 29 lug 2026

Vedi su GitHub
 (9 commenti) (0 reazioni) (1 assegnatario)TypeScript (43 fork)auto 404
Stellar Wavebugdifficulty: mediumhelp wantedsecurity

Metriche repository

Star
 (4 stelle)
Metriche merge PR
 (Merge medio 2g 13h) (9 PR mergiate in 30 g)

Descrizione

Category

Bug

Priority

High

Description

In lib/user-session-sync.ts, state is defined at module scope (let state = { anonymousBrowsing: false, walletConnected: false }). During Server-Side Rendering (SSR), useSyncExternalStore invokes getServerSnapshot = () => state. Because Node.js keeps module scope variables across incoming HTTP requests, modifying state during SSR leaks state across concurrent users.

Evidence from lib/user-session-sync.ts#L16-L19:

let state: SessionState = {
  anonymousBrowsing: false,
  walletConnected: false,
};

Proposed Solution

  1. Replace module-level mutable variables with React Context or scoped state providers (SessionProvider).
  2. Ensure SSR fallback getServerSnapshot returns a static default state object.

Acceptance Criteria

  • Session state is scoped per request / component tree using React Context.
  • No module-level mutable variables used for SSR snapshots.
  • Session persistence across tabs uses React Context + useSyncExternalStore safely.

Files

  • lib/user-session-sync.ts

Guida contributor

Direzione di ricerca
Investiga come lo stato a livello di modulo viene condiviso tra le richieste SSR in lib/user session sync.ts, rintracciando l'uso di getServerSnapshot. Identifica tutti i punti che modificano lo stato e comprendi il ciclo di vita di rendering di React. Esplora come definire l'ambito dello stato con React Context e confronta con i pattern esistenti nel codebase.
Tech stack
reacttypescriptnodejs
Dominio
full stack
Tipo issue
Bug
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
ReactTypeScriptSSRGit
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
70