Storybook: Fehlende Origin-Validierung in Preview erlaubt Code-Injection

Zusammenfassung

Die Preview von Storybook-Entwicklungsservern in den Versionen 8.0.0 bis 8.6.19, 9.0.0 bis 9.1.21, 10.0.0 bis 10.6.2 sowie 11.0.0-alpha.0 bis 11.0.0-alpha.6 beschränkt Einbettung und Nachrichten-Origins nicht ausreichend. Eine bösartige Website kann angreifergesteuerte Ereignisse an die laufende Preview senden. Besucht ein Entwickler eine solche Website und interagiert mit der eingeschleusten Oberfläche, kann ein Angreifer Story-Dateien unbefugt verändern. Wird eine veränderte Datei später von einer lokalen Laufzeitumgebung ausgeführt, läuft beliebiger Code mit den Rechten des Entwicklers.

Betroffen

• Storybook 8.0.0 bis vor 8.6.19
• Storybook 9.0.0 bis vor 9.1.21
• Storybook 10.0.0 bis vor 10.6.2
• Storybook 11.0.0-alpha.0 bis vor 11.0.0-alpha.6

Behoben in

• Storybook 8.6.19
• Storybook 9.1.21
• Storybook 10.6.2
• Storybook 11.0.0-alpha.6

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Exploitation none, Automatisierbarkeit nein, technische Auswirkung total
• Zum Zeitpunkt der Analyse ist keine Ausnutzung bekannt
• Benutzerinteraktion erforderlich: Ein Entwickler muss eine bösartige Website besuchen und mit der eingeschleusten Oberfläche interagieren

Unsere Empfehlung

• Storybook-Abhängigkeiten auf eine der oben genannten korrigierten Versionen aktualisieren
• Bis zur Korrektur keine nicht vertrauenswürdigen Websites besuchen, während ein Storybook-Entwicklungsserver läuft
• Story-Dateien auf unerwartete Änderungen prüfen, insbesondere kürzlich geänderte Dateien
• Storybook-Entwicklungsserver nicht in geteilten oder nicht vertrauenswürdigen Netzwerken betreiben

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-f2ph-cmg5-wxc8 github.com
• Storybook release v8.6.19 github.com
• Storybook release v9.1.21 github.com
• Storybook release v10.6.2 github.com
• Storybook release v11.0.0-alpha.6 github.com
• Storybook pull request #36726 github.com
• Storybook security documentation storybook.js.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:22.