Podatności Storybook

Podatność w Storybook umożliwia przejęcie połączenia WebSocket w serwerze deweloperskim. Brak walidacji originu pozwala atakującemu na wysyłanie złośliwych wiadomości WebSocket, co może prowadzić do trwałego XSS lub zdalnego wykonania kodu (RCE). Luka dotyczy tylko serwera deweloperskiego, nie wersji produkcyjnych.

Storybook w wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 pozwala serwerowi deweloperskiemu na ujawnienie tokenu uwierzytelniania WebSocket klientom mogącym załadować jego strony HTML w sieci lokalnej. Atakujący z sieci LAN może uzyskać token i wywołać funkcje zapisu plików lub testowania przez WebSocket. Słaba walidacja zapisu opowieści może pozwolić na umieszczenie kodu w plikach story, a w połączeniu z dodatkiem Vitest może prowadzić do wykonania kodu z uprawnieniami dewelopera.

Storybook to frontendowe narzędzie do budowania komponentów UI w izolacji. W wersjach od 8.0.0 do 8.6.19, 9.1.21, 10.6.2 i 11.0.0-alpha.6 złośliwa strona może wchodzić w interakcję z podglądem działającego serwera deweloperskiego Storybook z powodu niewystarczających ograniczeń osadzania iframe i pochodzenia wiadomości. Deweloper musi odwiedzić złośliwą stronę i wejść w interakcję z wstrzykniętym interfejsem.