CVE-2026-114126
Storybook dev server: devices on the same network can obtain the WebSocket token and write code into story files
CVSS 3.1High
8.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.6.19, 9.1.21, 10.6.2, 11.0.0-alpha.6
Обновитесь до Storybook 8.6.19, 9.1.21, 10.6.2, 11.0.0-alpha.6 или новее; обновите Vitest при использовании аддона.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка токена WebSocket в Storybook dev server позволяет атакующему в локальной сети внедрять код в файлы историй.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Сервер разработки Storybook передает аутентификационный токен WebSocket в возвращаемом HTML-коде клиентам локальной сети. Недостаточная валидация при записи историй через WebSocket дает возможность модифицировать файлы stories, а при наличии старых версий аддона Vitest — обращаться к его API для записи произвольных файлов.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Удаленное выполнение произвольного кода (RCE) на рабочей машине разработчика в пределах локальной сети (LAN).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
storybookjsstorybook
>= 8.0.0➔Fix: 8.6.19
storybookjsstorybook
>= 9.0.0➔Fix: 9.1.21
storybookjsstorybook
>= 10.0.0➔Fix: 10.6.2
storybookjsstorybook
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
——
>= 8.0.0➔Fix: 8.6.19
——
>= 9.0.0➔Fix: 9.1.21
——
>= 10.0.0➔Fix: 10.6.2
——
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
——
>= 8.0.0➔Fix: 8.6.19
——
>= 8.0.0➔Fix: 8.6.19
——
>= 8.0.0➔Fix: 8.6.19
——
>= 9.0.0➔Fix: 9.1.21
——
>= 10.0.0➔Fix: 10.6.2
——
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
——
>= 10.6.0➔Fix: 10.6.2
——
>= 11.0.0-alpha.0➔Fix: 11.0.0-alpha.6
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (12)
- github.comhttps://github.com/storybookjs/storybook/security/advisories/GHSA-px85-f4q5-jh77
- github.comhttps://github.com/storybookjs/storybook/pull/36726
- github.comhttps://github.com/storybookjs/storybook/commit/243c06bf8f1e2f09446c44868ea100261e1374da
- github.comhttps://github.com/storybookjs/storybook/commit/3be03ec6f11f4616471cebc3fc65c13e1bf8c178
- github.comhttps://github.com/storybookjs/storybook/commit/5540f03b209cc56c66f56a9c7cb4b2ee5b883ce5
- github.comhttps://github.com/storybookjs/storybook/commit/a9ef9345d73224c73e0b81dc2701ec5b465ea9bb
- github.comhttps://github.com/storybookjs/storybook/commit/d9b09e332510a88689c71ecc081bbbc2d072476e
- github.comhttps://github.com/storybookjs/storybook/commit/df3fed468c9b4830605f00068c4bc6b7e1e215ed
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v10.6.2
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v11.0.0-alpha.6
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v8.6.19
- github.comhttps://github.com/storybookjs/storybook/releases/tag/v9.1.21
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114126: Storybook dev server: devices on the same network can obtain the WebSocket token and write code into story files. URL: https://cve.futuretools.ru/cve/CVE-2026-114126
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114126,
title = {{CVE-2026-114126: Storybook dev server: devices on the same network can obtain the WebSocket token and write code into story files}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114126}},
note = {Оперативный инженерный анализ киберугроз}
}