CVE-2026-114125
Storybook: Falta de validação de origem no preview do Storybook permite a injeção de código de sites maliciosos
Um site malicioso pode ser capaz de causar alterações não autorizadas em arquivos de um projeto de um desenvolvedor enquanto um servidor de desenvolvimento Storybook afetado está em execução. Sob condições adicionais, um arquivo alterado pode ser executado por um tempo de execução local com os privilégios do desenvolvedor. Não temos conhecimento de exploração na natureza.
Traduzido automaticamente do inglês.
- storybookjs storybook
- Crítica
- CVSS 9.4
- EPSS 0,38%
- Versão corrigida informada
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| storybookjs storybook | >= 8.0.0, < 8.6.19; >= 9.0.0, < 9.1.21; >= 10.0.0, < 10.6.2; >= 11.0.0-alpha.0, < 11.0.0-alpha.6 | Nenhuma informada |
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| storybook (npm) | >= 8.0.0, < 8.6.19 | 8.6.19 | GHSA-f2ph-cmg5-wxc8 |
| storybook (npm) | >= 9.0.0, < 9.1.21 | 9.1.21 | GHSA-f2ph-cmg5-wxc8 |
| storybook (npm) | >= 10.0.0, < 10.6.2 | 10.6.2 | GHSA-f2ph-cmg5-wxc8 |
| storybook (npm) | >= 11.0.0-alpha.0, < 11.0.0-alpha.6 | 11.0.0-alpha.6 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/core (npm) | >= 8.0.0, < 8.6.19 | 8.6.19 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/core-server (npm) | >= 8.0.0, < 8.6.19 | 8.6.19 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/experimental-addon-test (npm) | >= 8.0.0, < 8.6.19 | 8.6.19 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/addon-vitest (npm) | >= 9.0.0, < 9.1.21 | 9.1.21 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/addon-vitest (npm) | >= 10.0.0, < 10.6.2 | 10.6.2 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/addon-vitest (npm) | >= 11.0.0-alpha.0, < 11.0.0-alpha.6 | 11.0.0-alpha.6 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/addon-mcp (npm) | >= 10.6.0, < 10.6.2 | 10.6.2 | GHSA-f2ph-cmg5-wxc8 |
| @storybook/addon-mcp (npm) | >= 11.0.0-alpha.0, < 11.0.0-alpha.6 | 11.0.0-alpha.6 | GHSA-f2ph-cmg5-wxc8 |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.4 (v4.0, pontuado por GitHub)
- EPSS
- 0,38% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Fraqueza
- CWE-94: Improper Control of Generation of Code ('Code Injection'); CWE-346: Origin Validation Error; CWE-1021: Improper Restriction of Rendered UI Layers or Frames
- Fabricante
- storybookjs, storybook
Linha do tempo
- O GitHub publicou o alerta GHSA-f2ph-cmg5-wxc8 (crítica). Corrigido em 8.6.19, 9.1.21, 10.6.2, 11.0.0-alpha.6.