CVE-2025-68429

Storybook, kullanıcı arayüzü bileşenlerini ve sayfalarını izole bir şekilde oluşturmak için kullanılan bir ön uç çalışma alanıdır. Versiyon 7.0.0'dan başlayarak 7.6.21, 8.6.15, 9.1.17 ve 10.1.10 versiyonlarından önceki sürümlerde mevcut olan bir güvenlik açığı, Storybook'un `.env` dosyasında tanımlanan ortam değişkenlerini işleme biçimiyle ilgilidir; bu durum belirli koşullar altında söz konusu değişkenlerin beklenmedik bir şekilde `storybook build` komutu tarafından oluşturulan artefaktlara dahil edilmesine yol açabilir. Derlenmiş bir Storybook web üzerinde yayınlandığında, paketin kaynağı görüntülenebilir olduğundan bu değişkenler erişimi olan herkes için potansiyel olarak ifşa olabilir. Bir projenin bu soruna karşı savunmasız olması için, Storybook'u (yani `storybook build` komutunu doğrudan veya dolaylı olarak) içinde bir `.env` dosyası ( `.env.local` gibi varyantlar dahil) bulunan bir dizinde derlemesi ve derlenen Storybook'u web üzerinde yayınlaması gerekir. Sırların `.env` dosyaları yerine platform ortam değişkenleri aracılığıyla sağlandığı yaygın CI tabanlı derlemeler de dahil olmak üzere, derleme sırasında `.env` dosyası olmadan oluşturulan Storybook'lar etkilenmez. Storybook çalışma zamanı ortamları (örneğin `storybook dev`) etkilenmez. Storybook ile aynı depoyu paylaşan dağıtılmış uygulamalar etkilenmez. Kullanıcılar hem yerel makinelerinde hem de CI ortamlarında Storybook sürümlerini mümkün olan en kısa sürede 7.6.21, 8.6.15, 9.1.17 veya 10.1.10 sürümüne yükseltmelidir. Bakımcılar ayrıca kullanıcıların `.env` dosyaları aracılığıyla sağlanan hassas sırları denetlemelerini ve bu anahtarları döndürmelerini önermektedir. Bazı projeler bu sorunun temelindeki belgelenmemiş davranışa güveniyor olabilir ve bu güncellemeden sonra ortam değişkenlerine referans verme yöntemlerini değiştirmeleri gerekecektir. Eğer bir proje gerekli ortam değişkeni değerlerini artık okuyamıyorsa, ya değişkenlerin başına `STORYBOOK_` ekleyin ya da değerleri manuel olarak belirtmek için Storybook yapılandırmasındaki `env` özelliğini kullanın. Her iki durumda da, derlenen pakete dahil edilecekleri için hassas sırları eklemeyin.