Storybook Dev-Server: Token-Offenlegung im lokalen Netz ermöglicht Code-Injektion

Zusammenfassung

Der Storybook-Entwicklungsserver (storybook dev) kann sein WebSocket-Authentifizierungstoken an Clients offenlegen, die dessen HTML-Seiten über das lokale Netzwerk laden können. Ein Angreifer im selben LAN kann das Token verwenden, um WebSocket-gestützte Funktionen zum Schreiben von Dateien und zum Testen aufzurufen und Code in Story-Dateien einzufügen. Ist das Vitest-Addon mit einer alten Vitest-Version installiert, kann die Nutzlast Vitest-APIs verwenden, um Dateien zu schreiben oder Befehle auszuführen, was zur Ausführung von Code mit den Rechten des Entwicklers führen kann.

Betroffen

• Storybook 8.0.0 bis vor 8.6.19
• Storybook 9.0.0 bis vor 9.1.21
• Storybook 10.0.0 bis vor 10.6.2
• Storybook 11.0.0-alpha.0 bis vor 11.0.0-alpha.6
• Addons mit eigenen Versionsbereichen: alle @storybook/*-Pakete in Lockfiles prüfen

Behoben in

• 8.6.19
• 9.1.21
• 10.6.2
• 11.0.0-alpha.6

Umgehung

• Das Aktualisieren ist die Korrektur; wenn ein Update möglich ist, ist keine Workaround nötig.
• Storybook dev nicht in unsicheren Netzwerken (öffentliches, Gast-, Hotel- oder Café-WLAN) ausführen, bis ein Patch installiert ist.
• Unbekannt, ob der Dev-Server in den korrigierten Versionen standardmässig nur an 127.0.0.1 gebunden wird; dies in den Release Notes prüfen.

Ausnutzung

• Der Angriff setzt voraus, dass sich der Angreifer im selben lokalen Netzwerk wie der Entwickler befindet.
• Laut CVSS-Vektor sind keine Berechtigungen und keine Benutzerinteraktion nötig.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Erstellung sind keine öffentlichen Proof-of-Concept-Exploits oder Ausnutzungen in freier Wildbahn bekannt.

Unsere Empfehlung

• Alle @storybook/*-Pakete gemeinsam auf die korrigierten Versionen aktualisieren.
• Lockfiles auf alte Vitest-Versionen prüfen, die mit dem Vitest-Addon verwendet werden, und diese aktualisieren.
• Entwickler anweisen, den Dev-Server bis zur Aktualisierung nicht in unsicheren Netzwerken auszuführen.
• Nur korrigierte Versionen aus den offiziellen Storybook-Releases verwenden, keine ungeprüften Drittanbieter-Neuaufbauten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor security advisory GHSA-px85-f4q5-jh77 github.com
• OSV record CVE-2026-114126 osv.dev
• Release v8.6.19 github.com
• Release v9.1.21 github.com
• Release v10.6.2 github.com
• Release v11.0.0-alpha.6 github.com
• GitHub Advisory GHSA-px85-f4q5-jh77 github.com
• OpenCVE CVE-2026-114126 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:01.