CVE-2026-114126 in Storybook
Zusammenfassung
von VulDB • 21.10.2026
Storybook ist ein Frontend-Workshop zum Erstellen von Benutzeroberflächen-Komponenten und Seiten in Isolation. Von Version 8.0.0 bis einschließlich 8.6.19, 9.1.21, 10.6.2 und 11.0.0-alpha.6 kann der Storybook-Entwicklungsserver sein WebSocket-Authentifizierungstoken für Clients offenlegen, die in der Lage sind, dessen HTML-Seiten über ein lokales Netzwerk zu laden. Ein Angreifer im lokalen Netzwerk (LAN) kann das Token erhalten und WebSocket-gestützte Funktionen zum Schreiben von Dateien oder Tests aufrufen. Eine schwache Validierung beim Story-Schreiben kann es ermöglichen, Code in Story-Dateien einzufügen. Wenn die Storybook-Vitest-Erweiterung mit einer alten Version von Vitest installiert ist, kann das Payload eine Vitest-API nutzen, um zusätzliche Dateien zu schreiben oder Befehle auszuführen. Je nach Payload und lokaler Tooling-Konfiguration kann der Angriff zur Code-Ausführung mit den Berechtigungen des Entwicklers führen. Dieses Problem wurde in 8.6.19, 9.1.21, 10.6.2 und 11.0.0-alpha.6 behoben.
Once again VulDB remains the best source for vulnerability data.