Storybook: Falta de validación de origen en Storybook preview permite inyección de código desde sitios web maliciosos

Resumen

Un sitio web malicioso podría provocar modificaciones no autorizadas de archivos en el proyecto de un desarrollador mientras un servidor de desarrollo de Storybook afectado está en ejecución. Bajo condiciones adicionales, un archivo modificado podría ser ejecutado por un entorno de ejecución local con los privilegios del desarrollador. No se tiene conocimiento de explotación activa en el entorno real.

¿Quién está afectado?

Está afectado quien ejecute un servidor de desarrollo de Storybook en las versiones vulnerables.

No está afectado si:

• Ejecuta un servidor de desarrollo que nunca abre en un navegador web (por ejemplo, automatizaciones headless o clientes MCP)
• Ejecuta o visita una versión compilada (built) de Storybook

Las versiones recientes de Chrome y Firefox pueden solicitar permisos antes de permitir que un sitio web se conecte a un servicio localhost. Esto reduce el riesgo, pero no lo elimina. No conceda este permiso a sitios web en los que no confíe.

Revisión de posibles cambios incompatibles (breaking changes)

Debido a la naturaleza excepcional de las vulnerabilidades reportadas, el equipo de Storybook decidió cambiar el comportamiento predeterminado de Storybook, incluyendo las versiones 8 y 9, en varias funciones de red que no son esenciales para el flujo de trabajo de la mayoría de los usuarios. Para los equipos que dependen de estas funciones, se han incorporado feature flags que permiten deshabilitar actualizaciones de seguridad específicas para dar soporte a sus flujos de trabajo actuales.

Revise con atención las flags introducidas y las consecuencias de su uso:

• Incrustación de iframe por red deshabilitada de forma predeterminada: Storybook ya no permite que el manager o el preview se incrusten como iframe en un sitio web con un nombre de host diferente. Las versiones compiladas de Storybook no se ven afectadas y pueden incrustarse libremente. Si requiere incrustar un servidor de desarrollo de Storybook mediante una aplicación web independiente, ejecute dicha aplicación en localhost. También puede utilizar la feature flag security.insecureRemoteIframeEmbed para volver a habilitar la incrustación mediante iframe desde cualquier origen.
• El iframe de preview rechaza mensajes enviados por hosts desconocidos: Tanto el preview como el manager de Storybook restringen ahora el origen de los iframes y ventanas principales hacia los que pueden enviar mensajes y desde los que pueden recibirlos mediante la API postMessage. Por defecto, Storybook en modo de desarrollo solo acepta comunicación con su propio origen y otros servicios localhost. Los Storybooks compilados continúan aceptando comunicación de orígenes desconocidos. Si algún addon o integración depende de postMessage para actualizar los argumentos de una historia en vivo, contacte al equipo de Storybook para consultar alternativas más seguras. La composición de Storybook también depende de postMessage, por lo que un Storybook compuesto en un origen distinto ahora fallará al cargarse a menos que haya sido compilado. La feature flag security.insecureIframeMessaging desactiva esta protección, pero se recomienda compilar los Storybooks compuestos en su lugar.
• Cambio en la firma del evento highlight: El propio addon de accesibilidad de Storybook utiliza el evento highlight para inyectar elementos destacados en el preview sobre los que el usuario puede hacer clic, abriendo un menú con un enlace a una página de documentación. La API de ese evento era excesivamente permisiva y podía usarse para desencadenar eventos arbitrarios, incluidos eventos procesados por el servidor de desarrollo del usuario. Se reestructuró la API para evitar abusos. Además del addon de accesibilidad, el addon Visual Tests de Chromatic usa esta API para enlazar a la documentación desde elementos ignorados destacados. Actualice el addon Visual Tests a la versión 5.5.1 o posterior para mantener operativo dicho enlace. Al no tener conocimiento de otros addons que usen esta API, no se añadió una flag para restaurar el comportamiento anterior.

Cronología de divulgación

El 30th de septiembre, el equipo de Storybook recibió un informe de divulgación responsable que demostraba cómo un sitio web malicioso podía incrustar el iframe de preview de un servidor de desarrollo de Storybook y enviar eventos al servidor de desarrollo en la máquina del desarrollador.

Combinaron esta información con los hallazgos de una auditoría de seguridad en curso para determinar el peor escenario de ataque de la vulnerabilidad divulgada junto con las descubiertas de forma independiente. Posteriormente, trabajaron en mitigar todas las capas necesarias para que dicho escenario pudiera materializarse. No se han recibido pruebas de explotación en proyectos reales de Storybook. El ataque descrito depende de explotar con éxito una secuencia de múltiples vulnerabilidades, algunas de las cuales no habían sido reveladas previamente al equipo de Storybook.

Peor escenario de ataque

Un sitio web controlado por un atacante puede interactuar con el preview de un servidor de desarrollo de Storybook en ejecución. Con interacción del usuario, podría hacer que el servidor de desarrollo realice cambios no autorizados en los archivos de historias. Si el archivo malicioso resultante es ejecutado posteriormente por un entorno de ejecución local, el ataque podría permitir la ejecución arbitraria de código con los permisos del desarrollador.