CVE-2026-27148: Sequestro de WebSocket no Servidor de Desenvolvimento do Storybook

Visão geral

O Storybook é uma ferramenta de workshop de frontend usada para construir componentes e páginas de interface de forma isolada. Segundo o aviso de segurança no GitHub, a funcionalidade de WebSocket do servidor de desenvolvimento do Storybook, usada para criar e atualizar stories, não valida a origem das conexões recebidas.

Impacto

O aviso descreve dois efeitos. Um site malicioso visitado por um desenvolvedor enquanto o servidor de desenvolvimento está em execução pode enviar mensagens WebSocket para a instância local. Se o servidor for exposto de forma intencional em uma rede, partes não autenticadas podem enviar essas mensagens diretamente.

Os manipuladores afetados são os que criam e salvam stories.
A entrada não sanitizada no campo componentFilePath é descrita como capaz de possibilitar XSS persistente ou execução remota de código (RCE).
Informa-se que builds de produção não são afetados.

A pontuação base na NVD é 9,6 e a do GitHub é 8,9, conforme a entrada da NVD. A fraqueza é classificada como CWE-74 (Injeção).

Produtos e versões afetadas

O registro lista estas faixas:

Antes de 7.6.23.
De 8.1.0 até 8.6.17, inclusive.
De 9.0.0 até 9.1.19, inclusive.
De 10.0.0 até 10.2.10, inclusive.

As versões corrigidas são 7.6.23, 8.6.17, 9.1.19 e 10.2.10. Versões fora dessas faixas não aparecem como afetadas, mas o registro não confirma explicitamente a situação de todas as versões mais antigas.

Status de exploração

O CISA KEV não lista esta CVE. Não há exploração ativa confirmada nem explorada na natureza nas fontes consultadas. A probabilidade EPSS registrada é 0,00701, com percentil 0,52706. Os campos SSVC do registro indicam exploração inexistente e não automatizável.

Correção e mitigação

Atualize o Storybook para a versão corrigida na mesma linha principal: 7.6.23, 8.6.17, 9.1.19 ou 10.2.10.
Deixe de expor o servidor de desenvolvimento a redes não confiáveis, inclusive para revisões de design ou demonstrações, até concluir a atualização.
Evite navegar em sites não confiáveis na mesma máquina enquanto o servidor de desenvolvimento do Storybook estiver em execução.
Consulte o registro da CVE e a página da Red Hat para acompanhar atualizações dos fornecedores.

Orientações de detecção

Faça um inventário de projetos e arquivos de lock de dependências para localizar versões do Storybook nas faixas afetadas.
Verifique se há instâncias do servidor de desenvolvimento acessíveis a partir de redes além da estação do desenvolvedor.
Se houver registro habilitado, revise conexões WebSocket de origens inesperadas ou clientes desconhecidos. A disponibilidade de logs não é confirmada pelo registro.

Limitações das informações disponíveis

O registro não descreve prova de conceito específica, assinatura de detecção nem indicador de comprometimento publicado pelo fornecedor. Não informa se todo o caminho até a execução remota de código foi demonstrado. Não está claro se versões antigas e sem suporte fora das faixas listadas são afetadas. A data EPSS do registro é incomum e não foi verificada de forma independente.

Perguntas frequentes

As builds de produção do Storybook são afetados pela CVE-2026-27148?

O registro informa que a vulnerabilidade afeta apenas o servidor de desenvolvimento do Storybook e que builds de produção não são impactados.

Quais versões contêm a correção?

As versões 7.6.23, 8.6.17, 9.1.19 e 10.2.10 contêm a correção. O registro lista como afetadas as faixas anteriores a 7.6.23, de 8.1.0 até 8.6.17 inclusive, de 9.0.0 até 9.1.19 inclusive e de 10.0.0 até 10.2.10 inclusive.

Esta vulnerabilidade está sendo explorada ativamente?

O CISA KEV não lista esta CVE, e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.