CVE-2026-114125

Nome do Software Vulnerável e Versões Afetadas Storybook versões 8.0.0 até 8.6.18 Storybook versões 9.0.0 até 9.1.20 Storybook versões 10.0.0 até 10.6.1 Storybook versões 11.0.0-alpha.0 até 11.0.0-alpha.5

Description Restrições insuficientes de incorporação de iframe e de origem de mensagem permitem que um site malicioso interaja com a pré-visualização de um servidor de desenvolvimento Storybook em execução. Se um desenvolvedor visitar um site malicioso e interagir com uma interface injetada, um invasor pode realizar alterações não autorizadas em arquivos de história. Se esses arquivos modificados forem posteriormente executados por um runtime local, isso pode levar à execução de código arbitrário com os privilégios do desenvolvedor. O problema envolve a API postMessage e a assinatura do evento highlight, que era permissiva demais e poderia ser usada para disparar eventos arbitrários processados pelo servidor de desenvolvimento.

Recommendations Atualize o Storybook para a versão 8.6.19, 9.1.21, 10.6.2 ou 11.0.0-alpha.6. Como mitigação temporária, não execute um servidor de desenvolvimento Storybook até que a atualização seja aplicada. Evite conceder permissões de conexão localhost a sites não confiáveis no navegador web.