CVE-2026-114126 in Storybook
Riassunto
di VulDB • 21/10/2026
Storybook è un ambiente di sviluppo frontend per la creazione isolata di componenti e pagine dell'interfaccia utente. Dalla versione 8.0.0 fino alle versioni 8.6.19, 9.1.21, 10.6.2 e 11.0.0-alpha.6, il server di sviluppo di Storybook può esporre il proprio token di autenticazione WebSocket a client in grado di caricare le sue pagine HTML su una rete locale. Un attaccante sulla LAN (LAN attacker) può ottenere il token ed invocare funzionalità basate su WebSocket per la scrittura di file o per test. Una debole validazione della scrittura delle storie (story-write validation) può consentire l'inserimento di codice nei file delle storie. Se l'addon Vitest di Storybook è installato con una versione obsoleta di Vitest, il payload può utilizzare un'API di Vitest per scrivere ulteriori file o eseguire comandi. A seconda del payload e degli strumenti locali, l'attacco può portare all'esecuzione di codice con i privilegi dello sviluppatore. Questo problema è risolto nelle versioni 8.6.19, 9.1.21, 10.6.2 e 11.0.0-alpha.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.