CVE-2026-47068

Nome do Software Vulnerável e Versões Afetadas phoenix storybook versões 0.4.0 até 1.0.x

Descrição Ocorre uma falha de bypass de autorização devido a chaves controladas pelo usuário, permitindo a injeção de tópicos PubSub entre sessões via um parâmetro de consulta de URL. A função handle params/3 em Elixir.PhoenixStorybook.Story.ComponentIframeLive lê um tópico PubSub diretamente do parâmetro topic e transmite o pid do processo do iframe sem verificar se o tópico pertence à sessão solicitante. Isso permite que um invasor carregue o endpoint '/storybook/iframe/' com um parâmetro topic pertencente a uma vítima, fazendo com que o playground da vítima envie mensagens de controle privadas, como estado de variação e trocas de tema, para o processo de iframe do invasor.

Recomendações Atualize o phoenix storybook para a versão 1.1.0.