CVE-2026-114125
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Storybook to frontendowe narzędzie do budowania komponentów UI w izolacji. W wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 złośliwa strona może wchodzić w interakcję z podglądem działającego serwera deweloperskiego Storybook z powodu niewystarczających ograniczeń osadzania iframe i pochodzenia wiadomości. Deweloper musi odwiedzić złośliwą stronę i wejść w interakcję z wstrzykniętym interfejsem.
Ocena ryzyka
Atak może spowodować nieautoryzowane zmiany w plikach story, a jeśli zmieniony plik zostanie później wykonany przez lokalne środowisko, może dojść do wykonania dowolnego kodu z uprawnieniami dewelopera.
Rekomendacja
Zaktualizuj Storybook do wersji 8.6.19, 9.1.21, 10.6.2 lub 11.0.0-alpha.6 i unikaj odwiedzania niezaufanych stron podczas pracy z serwerem deweloperskim.
Inne podatności w Storybook
Zobacz wszystkie- CVE-2026-27148Krytyczne
Podatność w Storybook umożliwia przejęcie połączenia WebSocket w serwerze deweloperskim. Brak walidacji originu pozwala atakującemu na wysyłanie złośliwych wiadomości WebSocket, co może prowadzić do trwałego XSS lub zdalnego wykonania kodu (RCE). Luka dotyczy tylko serwera deweloperskiego, nie wersji produkcyjnych.
- CVE-2026-114126Wysokie
Storybook w wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 pozwala serwerowi deweloperskiemu na ujawnienie tokenu uwierzytelniania WebSocket klientom mogącym załadować jego strony HTML w sieci lokalnej. Atakujący z sieci LAN może uzyskać token i wywołać funkcje zapisu plików lub testowania przez WebSocket. Słaba walidacja zapisu opowieści może pozwolić na umieszczenie kodu w plikach story, a w połączeniu z dodatkiem Vitest może prowadzić do wykonania kodu z uprawnieniami dewelopera.
Oryginalny opis (angielski, źródło NVD)
Storybook is a frontend workshop for building user interface components and pages in isolation. From 8.0.0 until 8.6.19, 9.1.21, 10.6.2, and 11.0.0-alpha.6, a malicious website can interact with the preview of a running Storybook development server. Insufficient iframe embedding and message-origin restrictions can allow attacker-controlled events to reach the running preview. A developer must visit the malicious website and interact with the injected interface. The attack can cause unauthorized changes to story files and, if a changed file is later executed by a local runtime, arbitrary code execution with the developer's privileges. This issue is fixed in 8.6.19, 9.1.21, 10.6.2, and 11.0.0-alpha.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS