【今すぐ更新】Storybookのdevサーバーに緊急パッチ、CVSS 9.4｜悪意あるサイトが手元のファイルを書き換える

2026 年 10 月 12 日に Storybook が 8.6.19 / 9.1.21 / 10.6.2 で修正した脆弱性 GHSA-f2ph-cmg5-wxc8（CVSS 4.0 で 9.4、Critical）の解説。対象バージョンの dev サーバーを立ち上げたまま悪意あるサイトを開いて少し触ると、手元の story ファイルが書き換えられる。 GitHub のアドバイザリを開いて仕組みを読み、9.4 という数字を前日の php2shell（9.2）と CVSS 4.0 のベクターで比べ、自分のプロジェクトが対象かを npm audit で確かめて package.json を上げるまで。 ■ 目次 0:00 Storybookのdevサーバーに緊急パッチ 0:48 何が起きたか、2 本のアドバイザリ（GitHub のアドバイザリ GHSA-f2ph-cmg5-wxc8 / 時系列、報告から一覧まで / もう 1 本、同じ日の GHSA-px85-f4q5-jh77、LAN から） 3:30 仕組み、サイトが localhost の Storybook を操る（2 つのページと 1 つのサーバー / 抜けていた所、変更点から 3 つ / 繋げるとどうなるか / Chrome のローカルネットワークアクセス） 6:43 9.4 という数字をどう読むか（CVSS 4.0 のベクターを並べる、9.2 と 9.4 / 自分にとっての危なさは、誰が対象か） 8:46 自分のプロジェクトは対象か、今日やること（まずバージョン、それと npm audit / リリースノートは番号で探す、v10.6.2 / package.json の 3 つを揃えて上げる） 10:59 まとめ ■ 脆弱性 GHSA-f2ph-cmg5-wxc8 / CVE-2026-114125（Critical 9.4、preview の送り元検証漏れ） https://github.com/advisories/GHSA-f2... GHSA-px85-f4q5-jh77 / CVE-2026-114126（High 8.7、LAN からのコード注入） https://github.com/storybookjs/storyb... Storybook 10.6.2 のリリースノート https://github.com/storybookjs/storyb... ■ 使うもの Storybook https://storybook.js.org/ FIRST、CVSS v4.0 の仕様 https://www.first.org/cvss/v4.0/speci... Chrome のローカルネットワークアクセス https://developer.chrome.com/blog/loc... ■ クレジット VOICEVOX:ずんだもん VOICEVOX:春日部つむぎ 立ち絵:坂本アヒル 様   / sakamoto_ahr   #Storybook #脆弱性 #セキュリティ