CVE-2026-27148

Storybook, istifadəçi interfeysi komponentlərini və səhifələrini təcrid olunmuş şəkildə qurmaq üçün nəzərdə tutulmuş frontend emalatxanasıdır. 7.6.23, 8.6.17, 9.1.19 və 10.2.10 versiyalarından əvvəlki Storybook-un dev serverində hekayələrin yaradılması və yenilənməsi üçün istifadə olunan WebSocket funksionallığı WebSocket hijacking zəifliyinə malikdir. Bu zəiflik yalnız Storybook dev serverinə təsir edir; production build-ləri təsirlənmir. Eksploytasiya üçün tərtibatçının lokal Storybook dev serveri işlək vəziyyətdə olduğu zaman zərərli veb sayta daxil olması tələb olunur. WebSocket bağlantısı gələn bağlantıların mənşəyini (origin) yoxlamadığı üçün, zərərli sayt əlavə istifadəçi qarşılıqlılığı olmadan lokal instansiyaya gizlicə WebSocket mesajları göndərə bilər. Əgər Storybook dev serveri qəsdən ictimaiyyətə açıq edilibsə (məsələn, dizayn rəyləri və ya maraqlı tərəflərin demoları üçün), risk daha yüksəkdir, çünki zərərli sayta daxil olmaq tələb edilmir. Autentifikasiya olunmamış hər hansı hücumçu birbaşa ona WebSocket mesajları göndərə bilər. Zəiflik hekayələrin yaradılması və saxlanılması üçün olan WebSocket mesaj handler-lərinə təsir edir. Hər ikisi componentFilePath sahəsində təmizlənməmiş giriş vasitəsilə inyeksiyaya meyillidir ki, bu da qalıcı XSS və ya uzaqdan kodun icrasına (RCE) nail olmaq üçün istifadə edilə bilər. 7.6.23, 8.6.17, 9.1.19 və 10.2.10 versiyaları problem üçün düzəliş ehtiva edir.