StorybookのWebSocketサーバーがサプライチェーン攻撃の入り口となる脆弱性

【なぜ重要か】 Storybookはフロントエンド開発で広く使用されているツールで、この脆弱性により攻撃者が悪意あるコードをプロジェクトに永続的に埋め込み、CI/CDパイプラインや本番環境まで影響が及ぶ可能性がある。特に日本企業でも多用されているフロントエンド開発ワークフローに直接的な脅威となる。

【ポイント】

• Storybook 8.1.0以降のWebSocketサーバーに認証・アクセス制御が一切なく、攻撃者がstoriesディレクトリに任意のファイルを書き込み可能
• 公開されているStorybookインスタンスでは完全に自動化された攻撃が可能、ローカル環境でも悪意あるWebサイト訪問で攻撃される
• componentFilePathやcomponentExportNameパラメータを通じてJavaScriptコードがstoryファイルに直接注入される
• ポータブルストーリーを使ったNode.js環境でのテストにより、XSSからRCE（リモートコード実行）に深刻度が拡大
• 攻撃で作成された悪意あるファイルがバージョン管理システムやCI/CDパイプラインに混入し、組織全体に被害が拡散する可能性

【まとめ】 CVSS 8.9の高リスク脆弱性で、影響を受けるバージョンを使用している場合は直ちにパッチ適用版（7.6.23、8.6.17、9.1.19、10.2.10）へのアップデートが必要。