CVE-2026-114126
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Storybook w wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 pozwala serwerowi deweloperskiemu na ujawnienie tokenu uwierzytelniania WebSocket klientom mogącym załadować jego strony HTML w sieci lokalnej. Atakujący z sieci LAN może uzyskać token i wywołać funkcje zapisu plików lub testowania przez WebSocket. Słaba walidacja zapisu opowieści może pozwolić na umieszczenie kodu w plikach story, a w połączeniu z dodatkiem Vitest może prowadzić do wykonania kodu z uprawnieniami dewelopera.
Ocena ryzyka
Atakujący z sieci lokalnej może wykonać dowolny kod w kontekście dewelopera, co może prowadzić do kompromitacji stacji roboczej i kradzieży danych. Ryzyko jest wysokie w środowiskach deweloperskich.
Rekomendacja
Zaktualizuj Storybook do wersji 8.6.19, 9.1.21, 10.6.2 lub 11.0.0-alpha.6. Unikaj uruchamiania serwera deweloperskiego w niezaufanych sieciach.
Inne podatności w Storybook
Zobacz wszystkie- CVE-2026-27148Krytyczne
Podatność w Storybook umożliwia przejęcie połączenia WebSocket w serwerze deweloperskim. Brak walidacji originu pozwala atakującemu na wysyłanie złośliwych wiadomości WebSocket, co może prowadzić do trwałego XSS lub zdalnego wykonania kodu (RCE). Luka dotyczy tylko serwera deweloperskiego, nie wersji produkcyjnych.
- CVE-2026-114125Wysokie
Storybook to frontendowe narzędzie do budowania komponentów UI w izolacji. W wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 złośliwa strona może wchodzić w interakcję z podglądem działającego serwera deweloperskiego Storybook z powodu niewystarczających ograniczeń osadzania iframe i pochodzenia wiadomości. Deweloper musi odwiedzić złośliwą stronę i wejść w interakcję z wstrzykniętym interfejsem.
Oryginalny opis (angielski, źródło NVD)
Storybook is a frontend workshop for building user interface components and pages in isolation. From 8.0.0 until 8.6.19, 9.1.21, 10.6.2, and 11.0.0-alpha.6, the Storybook development server can expose its WebSocket authentication token to clients able to load its HTML pages over a local network. A LAN attacker can obtain the token and invoke WebSocket-backed file-writing or testing functionality. Weak story-write validation can allow code to be placed in story files. If the Storybook Vitest addon is installed with an old version of Vitest, the payload can use a Vitest API to write additional files or execute commands. Depending on the payload and local tooling, the attack can lead to code execution with the developer's privileges. This issue is fixed in 8.6.19, 9.1.21, 10.6.2, and 11.0.0-alpha.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS