CVE-2026-114125
Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites
CVSS 3.1High
8.6/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.6.19, 9.1.21, 10.6.2, 11.0.0-alpha.6
Обновите Storybook до версий 8.6.19, 9.1.21, 10.6.2 или 11.0.0-alpha.6.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Отсутствие проверки origin в окне preview Storybook позволяет злоумышленнику внедрять код и изменять story-файлы через вредоносный сайт.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Недостаточные ограничения на встраивание iframe и отсутствие проверки источника postMessage позволяют вредоносной внешней странице передавать события во фрейм предварительного просмотра локального dev-сервера Storybook.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированная модификация исходных файлов историй разработчика с последующим выполнением произвольного кода (RCE) в контексте локальной среды при запуске тестов или сборки.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
storybookjsstorybook
>= 8.0.0➔Fix: 8.6.19
storybookjsstorybook
>= 9.0.0➔Fix: 9.1.21
storybookjsstorybook
>= 10.0.0➔Fix: 10.6.2
storybookjsstorybook
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
——
>= 8.0.0➔Fix: 8.6.19
——
>= 9.0.0➔Fix: 9.1.21
——
>= 10.0.0➔Fix: 10.6.2
——
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
——
>= 8.0.0➔Fix: 8.6.19
——
>= 8.0.0➔Fix: 8.6.19
——
>= 8.0.0➔Fix: 8.6.19
——
>= 9.0.0➔Fix: 9.1.21
——
>= 10.0.0➔Fix: 10.6.2
——
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
——
>= 10.6.0➔Fix: 10.6.2
——
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (11)
- github.comhttps://github.com/storybookjs/storybook/security/advisories/GHSA-f2ph-cmg5-wxc8
- github.comhttps://github.com/storybookjs/storybook/pull/36726
- github.comhttps://github.com/storybookjs/storybook/commit/243c06bf8f1e2f09446c44868ea100261e1374da
- github.comhttps://github.com/storybookjs/storybook/commit/3be03ec6f11f4616471cebc3fc65c13e1bf8c178
- github.comhttps://github.com/storybookjs/storybook/commit/97513d999910d071c2b36830495dab63e17d9fe0
- github.comhttps://github.com/storybookjs/storybook/commit/d9b09e332510a88689c71ecc081bbbc2d072476e
- github.comhttps://github.com/storybookjs/storybook/commit/df3fed468c9b4830605f00068c4bc6b7e1e215ed
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v10.6.2
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v11.0.0-alpha.6
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v8.6.19
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v9.1.21
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114125: Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites. URL: https://cve.futuretools.ru/cve/CVE-2026-114125
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114125,
title = {{CVE-2026-114125: Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114125}},
note = {Оперативный инженерный анализ киберугроз}
}