CVE-2026-114126 in Storybook
الملخص
بحسب VulDB • 21/10/2026
تُعد Storybook ورشة عمل للواجهة الأمامية (Frontend) مخصصة لبناء مكونات واجهة المستخدم والصفحات في عزلة. من الإصدار 8.0.0 وحتى الإصدارات 8.6.19، و9.1.21، و10.6.2، و11.0.0-alpha.6، يمكن لخادم التطوير الخاص بـ Storybook أن يكشف رمز المصادقة عبر WebSocket (WebSocket authentication token) للعملاء القادرين على تحميل صفحات HTML الخاصة به عبر شبكة محلية. يمكن لمهاجم في الشبكة المحلية (LAN) الحصول على الرمز واستدعاء وظائف الكتابة إلى الملفات أو الاختبار المدعومة بواسطة WebSocket. قد تسمح عملية التحقق الضعيفة لكتابة القصص (story-write validation) بإدراج كود في ملفات القصص. إذا كان مكون Vitest addon الخاص بـ Storybook مثبتاً مع إصدار قديم من Vitest، يمكن للحمولة البرمجية استخدام واجهة برمجة تطبيقات Vitest لكتابة ملفات إضافية أو تنفيذ الأوامر. اعتماداً على الحمولة البرمجية وأدوات التطوير المحلية، قد يؤدي الهجوم إلى تنفيذ الكود بصلاحيات المطور. تم إصلاح هذه المشكلة في الإصدارات 8.6.19، و9.1.21، و10.6.2، و11.0.0-alpha.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.