CVE-2026-27148

Storybook, kullanıcı arayüzü bileşenlerini ve sayfalarını izole bir şekilde oluşturmak için kullanılan bir ön uç çalışma alanıdır. 7.6.23, 8.6.17, 9.1.19 ve 10.2.10 sürümlerinden önce, Storybook'un hikayeler oluşturmak ve güncellemek için kullandığı geliştirici sunucusundaki WebSocket işlevselliği, WebSocket hijacking saldırılarına karşı savunmasızdır. Bu güvenlik açığı yalnızca Storybook geliştirici sunucusunu etkilemektedir; üretim yapılandırmaları etkilenmemektedir. İstismar edilmesi için, yerel Storybook geliştirici sunucusu çalışırken bir geliştiricinin kötü amaçlı bir web sitesini ziyaret etmesi gerekir. WebSocket bağlantısı gelen bağlantıların kaynağını doğrulamadığı için, kötü amaçlı bir site, başka herhangi bir kullanıcı etkileşimi olmaksızın yerel örneğe sessizce WebSocket mesajları gönderebilir. Storybook geliştirici sunucusu kasıtlı olarak halka açık hale getirilmişse (örneğin tasarım incelemeleri veya paydaş demoları için), herhangi bir kötü amaçlı site ziyareti gerekmediğinden risk daha yüksektir. Kimliği doğrulanmamış herhangi bir saldırgan doğrudan WebSocket mesajları gönderebilir. Güvenlik açığı, hikaye oluşturma ve kaydetme işlemleri için kullanılan WebSocket mesaj işleyicilerini etkilemektedir. Her iki işlem de componentFilePath alanındaki temizlenmemiş girdiler aracılığıyla enjeksiyona karşı savunmasızdır ve bu durum kalıcı XSS veya uzaktan kod çalıştırma (RCE) elde etmek için istismar edilebilir. 7.6.23, 8.6.17, 9.1.19 ve 10.2.10 sürümleri bu sorun için bir düzeltme içermektedir.