CVE-2026-114125

اسم البرنامج المصاب والإصدارات المتأثرة Storybook الإصدارات من 8.0.0 إلى 8.6.18 Storybook الإصدارات من 9.0.0 إلى 9.1.20 Storybook الإصدارات من 10.0.0 إلى 10.6.1 Storybook الإصدارات من 11.0.0-alpha.0 إلى 11.0.0-alpha.5

Description تسمح القيود غير الكافية لتضمين iframe وأصل الرسالة لموقع إلكتروني خبيث بالتفاعل مع معاينة خادم تطوير Storybook قيد التشغيل. إذا قام المطور بزيارة موقع خبيث وتفاعل مع واجهة محقونة، يمكن للمهاجم إجراء تغييرات غير مصرح بها على ملفات القصص (story files). وإذا تم تنفيذ هذه الملفات المعدلة لاحقاً بواسطة بيئة تشغيل محلية، فقد يؤدي ذلك إلى تنفيذ رمز برمجي عشوائي بصلاحيات المطور. تتضمن المشكلة واجهة برمجة تطبيقات postMessage وتوقيع حدث highlight الذي كان يسمح بصلاحيات واسعة جداً، مما قد يسمح بتفعيل أحداث عشوائية يعالجها خادم التطوير.

Recommendations تحديث Storybook إلى الإصدار 8.6.19 أو 9.1.21 أو 10.6.2 أو 11.0.0-alpha.6. كإجراء تخفيف مؤقت، لا تقم بتشغيل خادم تطوير Storybook حتى يتم تطبيق التحديث. تجنب منح أذونات الاتصال بـ localhost للمواقع غير الموثوقة في متصفح الويب.