CVE-2026-34411
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność w Appsmith w wersjach przed 1.98 ujawnia wrażliwe punkty końcowe API zarządzania instancją bez wymaganego uwierzytelnienia. Niezalogowani atakujący mogą odczytać metadane konfiguracji, informacje licencyjne oraz niesolone hasze SHA-256 domen e-mail administratora.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia rekonesansu i planowania ataków celowanych przez nieautoryzowanych użytkowników, co może prowadzić do wycieku poufnych danych i naruszenia bezpieczeństwa instancji.
Rekomendacja
Należy niezwłocznie zaktualizować Appsmith do wersji 1.98 lub nowszej, która usuwa tę podatność. Dodatkowo zaleca się ograniczenie dostępu do API zarządzania za pomocą zapory sieciowej lub list kontroli dostępu.
Inne podatności w Appsmith
Zobacz wszystkie- CVE-2026-22794Krytyczne
Podatność w Appsmith przed wersją 1.93: serwer używa wartości Origin z nagłówków żądania jako baseUrl w linkach e-mail bez walidacji. Atakujący kontrolujący Origin może spowodować wygenerowanie linków do resetowania hasła / weryfikacji e-mail wskazujących na jego domenę, co prowadzi do ujawnienia tokenów uwierzytelniających i potencjalnego przejęcia konta.
- CVE-2026-49979Niskie
W Appsmith przed wersją 1.99, endpoint POST /api/v1/admin/send-test-email akceptuje kontrolowane przez atakującego wartości smtpHost i smtpPort, nawiązując surowe połączenie TCP JavaMail bez walidacji IP. Obejście to całkowicie pomija filtr IP WebClientUtils, który dotyczy tylko żądań HTTP Spring WebClient. Ponadto, surowy komunikat MailException.getMessage() jest zwracany w odpowiedzi API, co umożliwia skanowanie portów i enumerację bannerów usług na podstawie błędów.
- CVE-2026-7299Średnie
Funkcja autouzupełniania edytora zapytań SQL w Appsmith nie oczyszcza nazw obiektów bazy danych przed renderowaniem ich w innerHTML, co pozwala uwierzytelnionemu Deweloperowi na wstrzyknięcie trwałego XSS poprzez złośliwe nazwy tabel lub kolumn, powodując wykonanie dowolnego kodu w sesjach innych członków przestrzeni roboczej podczas interakcji z tym samym źródłem danych.
- CVE-2026-5418Wysokie
W aplikacji appsmithorg appsmith do wersji 1.97 występuje podatność server-side request forgery (SSRF) w funkcji computeDisallowedHosts w pliku WebClientUtils.java w komponencie Dashboard. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Appsmith versions prior to 1.98 expose sensitive instance management API endpoints without authentication. Unauthenticated attackers can query endpoints like /api/v1/consolidated-api/view and /api/v1/tenants/current to retrieve configuration metadata, license information, and unsalted SHA-256 hashes of admin email domains for reconnaissance and targeted attack planning.