CVE-2026-114126
Storybook dev server: devices on the same network can obtain the WebSocket token and write code into story files
Что произошло
Storybook is a frontend workshop for building user interface components and pages in isolation. From 8.0.0 until 8.6.19, 9.1.21, 10.6.2, and 11.0.0-alpha.6, the Storybook development server can expose its WebSocket authentication token to clients able to load its HTML pages over a local network. A LAN attacker can obtain the token and invoke WebSocket-backed file-writing or testing functionality. Weak story-write validation can allow code to be placed in story files. If the Storybook Vitest addon is installed with an old version of Vitest, the payload can use a Vitest API to write additional files or execute commands. Depending on the payload and local tooling, the attack can lead to code execution with the developer's privileges. This issue is fixed in 8.6.19, 9.1.21, 10.6.2, and 11.0.0-alpha.6.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
storybookjs / storybook
{
"status": "affected",
"version": ">= 8.0.0, < 8.6.19"
}{
"status": "affected",
"version": ">= 9.0.0, < 9.1.21"
}{
"status": "affected",
"version": ">= 10.0.0, < 10.6.2"
}{
"status": "affected",
"version": ">= 11.0.0-alpha.0, < 11.0.0-alpha.6"
}CVSS: оценки и векторы
CVSS 4.0 · cve8.7
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:N
CVSS 4.0 · security-advisories@github.com8.7
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-10-28T15:05:55.502429+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T18:38:35.829101+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T18:38:35.829101+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T18:38:35.829101+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-10-28T15:05:55.502429+00:00"
},
"references": [
"cve",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T18:38:35.829101+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены28.10.2026, 21:38
- Данные обновлены28.10.2026, 18:05
- Опубликована28.10.2026, 15:16
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-114125 Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites storybookjs / storybook | Высокий | 8.6 | — | 21.10.2026 | ||
| CVE-2026-27148 Storybook Dev Server Vulnerable to WebSocket Hijacking storybookjs / storybook · Red Hat / Red Hat Enterprise Linux 10 | Высокий | 8.9 | — | 26.02.2026 | ||
| CVE-2025-68429 Storybook manager bundle may expose environment variables during build storybookjs / storybook | Высокий | 7.3 | 0,26 % | 18.12.2025 |