Storybook corrige injeção de código por sites maliciosos; sem exploração conhecida

O que aconteceu

O Storybook corrigiu uma falha que permite a sites maliciosos alterar arquivos do projeto de um desenvolvedor enquanto o servidor de desenvolvimento roda. No pior cenário descrito pela equipe, um arquivo alterado pode ser executado por um runtime local, levando à execução arbitrária de código com as permissões do desenvolvedor. O aviso foi publicado em 12 de outubro de 2026 e atualizado em 21 de outubro de 2026.

Por que importa

O risco atinge equipes de engenharia que rodam o servidor de desenvolvimento do Storybook nas versões afetadas (da 8.x aos pré-lançamentos 11) e o abrem no navegador. Um arquivo malicioso gravado no projeto pode rodar na máquina do desenvolvedor, expondo código-fonte e credenciais locais. Segundo o aviso, versões construídas (build) do Storybook não são afetadas.

O que fazer

Atualize o Storybook para 8.6.19, 9.1.21, 10.6.2 ou 11.0.0-alpha.6 antes de rodar storybook dev novamente. Enquanto não atualizar, não rode o servidor de desenvolvimento afetado. Revise as mudanças de comportamento padrão de rede e atualize o addon Visual Tests para 5.5.1 ou posterior.

Para o time técnico

CVE

CVE-2026-114125

Afetados

Storybook dev server (storybook / @storybook/core-server e addons) · storybook, @storybook/core, @storybook/core-server e @storybook/experimental-addon-test >= 8.0.0 < 8.6.19; storybook e @storybook/addon-vitest >= 9.0.0 < 9.1.21; storybook, @storybook/addon-vitest e @storybook/addon-mcp >= 10.0.0 < 10.6.2 (addon-mcp a partir de 10.6.0); storybook e addons >= 11.0.0-alpha.0 < 11.0.0-alpha.6.

Exploração

A equipe do Storybook afirma não ter recebido evidências de exploração em projetos reais (aviso GHSA-f2ph-cmg5-wxc8, publicado em 12/10/2026 e atualizado em 21/10/2026). Nenhuma PoC ou entrada em KEV citada nas fontes.

Correção

Versões corrigidas: 8.6.19, 9.1.21, 10.6.2 e 11.0.0-alpha.6. Mitigação temporária: não rodar o dev server afetado até aplicar a correção e negar a sites não confiáveis a permissão do navegador para conectar a localhost. Atualizar o addon Visual Tests para 5.5.1 ou posterior.

Vetor

Validação de origem ausente na comunicação postMessage do preview do Storybook. Um site controlado pelo atacante incorpora o iframe de preview de um dev server em execução e envia eventos ao servidor na máquina do desenvolvedor. Requer que o servidor de desenvolvimento esteja rodando e o navegador aberto (interação passiva). Métricas CVSS v4 do GitHub: vetor rede, complexidade baixa, sem requisitos, sem privilégios, impacto alto em confidencialidade, integridade e disponibilidade. Chrome e Firefox recentes pedem permissão para um site conectar a localhost, o que reduz mas não elimina o risco.

Mais detalhes

CVE-2026-114125. Linha do tempo: divulgação responsável recebida em 30/09/2026 mostrando como um site malicioso incorpora o iframe de preview e envia eventos ao dev server; a equipe combinou o relato com uma auditoria de segurança em andamento e corrigiu todas as camadas do pior cenário, que exige explorar uma sequência de várias falhas, algumas nunca divulgadas. Mudanças de padrão nas versões corrigidas: incorporação de iframe pela rede desabilitada por padrão (flag security.insecureRemoteIframeEmbed), preview e manager rejeitam mensagens de origem desconhecida via postMessage (flag security.insecureIframeMessaging), assinatura do evento highlight refeita. Segundo o release v10.6.2, o patch também corrige GHSA-px85-f4q5-jh77.

Linha do tempo

1. 26/10/2026 13:20

   Incidente aberto.

Fontes 3 fontes

• Missing origin validation in Storybook preview allows code injection from malicious websites (GHSA-f2ph-cmg5-wxc8) Storybook
• CVE-2026-114125 MITRE
• GitHub Advisory Database: GHSA-f2ph-cmg5-wxc8 GitHub
• Storybook v10.6.2 release Storybook

Ver todas as notícias