CVE-2025-68429 in storybook
Riassunto
di VulDB • 17/06/2026
Storybook è un ambiente di sviluppo frontend per la creazione di componenti e pagine dell'interfaccia utente in isolamento. Una vulnerabilità presente a partire dalle versioni 7.0.0 e precedenti alle versioni 7.6.21, 8.6.15, 9.1.17 e 10.1.10 riguarda la gestione da parte di Storybook delle variabili di ambiente definite in un file `.env`, che in circostanze specifiche potrebbero portare a tali variabili essere incluse inaspettatamente negli artefatti creati dal comando `storybook build`. Quando una versione compilata di Storybook viene pubblicata sul web, il codice sorgente del bundle è visibile, esponendo potenzialmente tali variabili a chiunque abbia accesso. Affinché un progetto sia potenzialmente vulnerabile a questo problema, deve compilare Storybook (ovvero eseguire `storybook build` direttamente o indirettamente) in una directory che contiene un file `.env` (incluse varianti come `.env.local`) e pubblicare la versione compilata di Storybook sul web. Le versioni di Storybook compilate senza un file `.env` al momento della compilazione non sono interessate, incluse le comuni build basate su CI in cui i segreti sono forniti tramite variabili di ambiente della piattaforma anziché file `.env`. Gli ambienti di runtime di Storybook (ovvero `storybook dev`) non sono interessati. Le applicazioni distribuite che condividono un repository con la tua Storybook non sono interessate. Gli utenti dovrebbero aggiornare la propria versione di Storybook, sia sulle macchine locali che nell'ambiente CI, alle versioni 7.6.21, 8.6.15, 9.1.17 o 10.1.10 il prima possibile. I manutentori raccomandano inoltre agli utenti di verificare la presenza di eventuali segreti sensibili forniti tramite file `.env` e di ruotare tali chiavi. Alcuni progetti potrebbero aver fatto affidamento sul comportamento non documentato alla base di questo problema e dovranno modificare il modo in cui fanno riferimento alle variabili di ambiente dopo questo aggiornamento. Se un progetto non riesce più a leggere i valori delle variabili di ambiente necessari, è possibile prefixare le variabili con `STORYBOOK_` o utilizzare la proprietà `env` nella configurazione di Storybook per specificare manualmente i valori. In entrambi i casi, non includere segreti sensibili poiché verranno inclusi nel bundle compilato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.