CVE-2025-68429

Storybook istifadəçi interfeysi komponentlərini və səhifələrini təcrid olunmuş şəkildə yaratmaq üçün nəzərdə tutulmuş frontend emalatxanasıdır. Versiya 7.0.0-dan başlayaraq versiyalar 7.6.21, 8.6.15, 9.1.17 və 10.1.10-dan əvvəlki versiyalarda mövcud olan zəiflik, Storybook-un `.env` faylında təyin edilmiş mühit dəyişənlərinin idarə edilməsi ilə bağlıdır ki, bu da müəyyən hallarda həmin dəyişənlərin gözlənilmədən `storybook build` əmri tərəfindən yaradılan artefaktlara daxil edilməsinə səbəb ola bilər. Qurulmuş Storybook veb şəbəkədə dərc edildikdə, paketin mənbə kodu görünür olur və beləliklə, həmin dəyişənlər giriş imkanı olan hər kəs üçün açıq hala gələ bilər. Layihənin bu problemə qarşı həssas olması üçün o, `.env` faylı (o cümlədən `.env.local` kimi variantlar) olan kataloqda Storybook-u qurmalı (yəni birbaşa və ya dolayısı ilə `storybook build` işə salmalı) və qurulmuş Storybook-u vebdə dərc etməlidir. Qurma zamanı `.env` faylı olmadan qurulan Storybook-lar, o cümlədən gizli məlumatların `.env` faylları vasitəsilə deyil, platforma mühit dəyişənləri vasitəsilə təmin edildiyi ümumi CI əsaslı qurmalar buna təsir etmir. Storybook çalışma mühitləri (məsələn, `storybook dev`) təsirlənmir. Storybook ilə eyni repozitoriyanı paylaşan yerləşdirilmiş tətbiqlər təsirlənmir. İstifadəçilər həm lokal maşınlarında, həm də CI mühitində Storybook-u mümkün qədər tez 7.6.21, 8.6.15, 9.1.17 və ya 10.1.10 versiyasına yüksəltməlidirlər. Texniki baxımçılar əlavə olaraq istifadəçilərə `.env` faylları vasitəsilə təmin edilən hər hansı həssas gizli məlumatları yoxlamağı və həmin açarları yeniləməyi tövsiyə edirlər. Bəzi layihələr bu problemin əsasında dayanan sənədləşdirilməmiş davranışdan asılı ola bilər və bu yeniləmədən sonra mühit dəyişənlərinə istinad etmə formasını dəyişməli olacaqlar. Əgər layihə artıq lazımi mühit dəyişəni dəyərlərini oxuya bilmirsə, ya dəyişənlərin əvvəlinə `STORYBOOK_` prefiksini əlavə edin, ya da dəyərləri əllə təyin etmək üçün Storybook konfiqurasiyasındakı `env` xüsusiyyətindən istifadə edin. Hər iki halda, həssas gizli məlumatları daxil etməyin, çünki onlar qurulmuş paketə daxil ediləcəkdir.