PT-2026-22027
CVE-2026-27148
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Storybook الأقدم من 7.6.23
إصدارات Storybook الأقدم من 8.6.17
إصدارات Storybook الأقدم من 9.1.19
إصدارات Storybook الأقدم من 10.2.10
الوصف
تعد وظيفة WebSocket في خادم التطوير الخاص بـ Storybook، والمستخدمة لإنشاء القصص وتحديثها، عرضة لاختطاف WebSocket. تؤثر هذه المشكلة على خادم التطوير فقط ولا تؤثر على إصدارات الإنتاج. يتطلب استغلال هذه الثغرة أن يقوم مطور بزيارة موقع ويب ضار أثناء تشغيل خادم التطوير المحلي لـ Storybook. تفتقر اتصال WebSocket إلى التحقق من مصدر الاتصال، مما يسمح لموقع ويب ضار بإرسال رسائل WebSocket إلى المثيل المحلي دون تفاعل من المستخدم. إذا كان خادم التطوير لـ Storybook مكشوفًا للجمهور، فيمكن لمهاجم غير معتمد إرسال رسائل WebSocket مباشرةً. تتعرض معالجات رسائل WebSocket الخاصة بإنشاء وحفظ القصص (stories) للاختراق عن طريق حقن عبر مدخلات غير معقمة في حقل
componentFilePath، مما قد يؤدي إلى حدوث هجمات «التنفيذ عبر المواقع» (XSS) المستمرة أو «التنفيذ عن بُعد للكود» (RCE).التوصيات
قم بتحديث Storybook إلى الإصدار 7.6.23 أو أحدث.
قم بتحديث Storybook إلى الإصدار 8.6.17 أو أحدث.
قم بتحديث Storybook إلى الإصدار 9.1.19 أو أحدث.
قم بتحديث Storybook إلى الإصدار 10.2.10 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾