Tim Storybook menerbitkan advisori keamanan untuk celah kritis di server pengembangan (dev server) yang dipakai banyak tim front-end. Celah ini tercatat sebagai CVE-2026-114125 dengan skor CVSS v4 9,4. Menurut advisori di GitHub, situs web jahat bisa berinteraksi dengan pratinjau Storybook yang sedang berjalan dan, dengan campur tangan pengguna, mengubah berkas proyek tanpa izin.
Cara celah ini bekerja dan siapa yang terdampak
Akar masalahnya adalah validasi asal (origin) yang tidak memadai pada pratinjau dev server. Jika berkas yang berubah kemudian dijalankan oleh runtime lokal, hasilnya bisa berupa eksekusi kode dengan hak akses pengembang. Pelapor kerentanan, yang memakai nama agent-killjoy, menyerahkan temuannya lewat pengungkapan bertanggung jawab. Advisori diterbitkan pada 12 Oktober, sedangkan ringkasan di Daily CyberSecurity yang memuat nomor CVE terbit pada 26 Oktober.
Paket npm yang terdampak mencakup storybook versi 8.0.0 sampai sebelum 8.6.19, 9.0.0 sampai sebelum 9.1.21, 10.0.0 sampai sebelum 10.6.2, dan 11.0.0-alpha.0 sampai sebelum 11.0.0-alpha.6. Paket @storybook/core, @storybook/core-server, dan @storybook/experimental-addon-test ikut terdampak di rentang 8.x. Addon @storybook/addon-vitest dan @storybook/addon-mcp juga masuk daftar, dengan batas versi yang sama untuk rilis 9.x, 10.x, dan 11 alpha. Advisori menyebut belum ada eksploitasi di lapangan.
Tidak semua pengguna terkena. Situs Storybook yang sudah di-build tidak terdampak, begitu pula dev server di lingkungan tanpa akses internet bebas, misalnya kontainer agen. Peramban Chrome dan Firefox versi baru juga menampilkan peringatan saat sebuah situs mencoba menghubungi layanan di localhost, sehingga risikonya berkurang, tetapi tidak hilang.
Langkah yang perlu diambil pengembang
Perbarui ke versi yang sudah diperbaiki sebelum menjalankan storybook dev lagi: 8.6.19, 9.1.21, 10.6.2, atau 11.0.0-alpha.6. Bila belum bisa memperbarui, jangan jalankan dev server versi terdampak. Perbarui juga addon Chromatic Visual Tests ke versi terbaru, karena perubahan API event highlight dapat memutus tautan dokumentasi di addon tersebut.
Perbaikan ini membawa perubahan perilaku. Dev server kini memblokir penyematan iframe dari hostname lain dan menolak lalu lintas postMessage dari origin yang tidak dikenal. Jika alur kerja tim bergantung pada perilaku lama, tersedia dua flag fitur, security.insecureRemoteIframeEmbed dan security.insecurePreviewMessaging. Keduanya melemahkan perlindungan, jadi aktifkan hanya bila memang perlu. Untuk Storybook yang disusun dari beberapa Storybook lain, advisori menyarankan membangun versi komposisinya, bukan memakai flag pesan.
Bagi tim Indonesia yang menjalankan Storybook di laptop kerja sambil membuka banyak tab, risikonya nyata walau butuh interaksi pengguna. Periksa versi di package.json dan lockfile, termasuk di repositori lama yang jarang dibuka.
Sumber: advisori resmi Storybook di GitHub dan Daily CyberSecurity. Gambar: Storybook.