CVE-2026-114125

GitHubCrítica, npm

Storybook: Falta de validação de origem no preview do Storybook permite a injeção de código de sites maliciosos

Traduzido automaticamente do inglês.

Um site malicioso pode ser capaz de causar alterações não autorizadas em arquivos de um projeto de um desenvolvedor enquanto um servidor de desenvolvimento Storybook afetado está em execução. Sob condições adicionais, um arquivo alterado pode ser executado por um tempo de execução local com os privilégios do desenvolvedor. Não temos conhecimento de exploração na natureza.

Sem exploração conhecida
Gravidade: Crítica, CVSS 9.4 (v4.0)
EPSS: 0,38% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: storybook (npm) >= 8.0.0, < 8.6.19, corrigido em 8.6.19 · GHSA-f2ph-cmg5-wxc8
storybook (npm) >= 9.0.0, < 9.1.21, corrigido em 9.1.21 · GHSA-f2ph-cmg5-wxc8
storybook (npm) >= 10.0.0, < 10.6.2, corrigido em 10.6.2 · GHSA-f2ph-cmg5-wxc8
storybook (npm) >= 11.0.0-alpha.0, < 11.0.0-alpha.6, corrigido em 11.0.0-alpha.6 · GHSA-f2ph-cmg5-wxc8
@storybook/core (npm) >= 8.0.0, < 8.6.19, corrigido em 8.6.19 · GHSA-f2ph-cmg5-wxc8
@storybook/core-server (npm) >= 8.0.0, < 8.6.19, corrigido em 8.6.19 · GHSA-f2ph-cmg5-wxc8
@storybook/experimental-addon-test (npm) >= 8.0.0, < 8.6.19, corrigido em 8.6.19 · GHSA-f2ph-cmg5-wxc8
@storybook/addon-vitest (npm) >= 9.0.0, < 9.1.21, corrigido em 9.1.21 · GHSA-f2ph-cmg5-wxc8
@storybook/addon-vitest (npm) >= 10.0.0, < 10.6.2, corrigido em 10.6.2 · GHSA-f2ph-cmg5-wxc8
@storybook/addon-vitest (npm) >= 11.0.0-alpha.0, < 11.0.0-alpha.6, corrigido em 11.0.0-alpha.6 · GHSA-f2ph-cmg5-wxc8
@storybook/addon-mcp (npm) >= 10.6.0, < 10.6.2, corrigido em 10.6.2 · GHSA-f2ph-cmg5-wxc8
@storybook/addon-mcp (npm) >= 11.0.0-alpha.0, < 11.0.0-alpha.6, corrigido em 11.0.0-alpha.6 · GHSA-f2ph-cmg5-wxc8