Vulnérabilité XSS stockée Critique & Escalade de Privilèges dans Appsmith

L'impact de cette vulnérabilité est extrêmement élevé. Un attaquant, même disposant d'un simple compte utilisateur, peut exploiter la fonctionnalité "Invite Users" pour forcer un administrateur à exécuter un appel API privilégié (/api/v1/admin/env). Cette exécution permet à l'attaquant de prendre le contrôle total du compte administrateur, compromettant ainsi l'ensemble de l'application Appsmith et les données qu'elle contient. La prise de contrôle d'un compte administrateur permet l'accès à toutes les données sensibles, la modification de la configuration de l'application et l'exécution de code arbitraire sur le serveur. Cette vulnérabilité présente un risque de compromission significative pour les organisations utilisant Appsmith.

Organizations utilizing Appsmith for building internal tools and admin panels are at risk, particularly those with System Administrator accounts that are susceptible to social engineering attacks. Shared hosting environments where multiple users share an Appsmith instance are also at increased risk, as a compromised regular user account could potentially lead to administrative access.

• javascript / web:

// Check for suspicious API calls to /api/v1/admin/env in Appsmith logs
// Look for requests originating from unusual user accounts

• generic web:

curl -I 'https://<appsmith_instance>/api/v1/admin/env' | grep -i '200 OK'

• generic web:

# Check Appsmith access logs for POST requests to /api/v1/admin/env
# with unusual user agents or referrer headers

1. 2026-03-09Disclosure

   disclosure

1. Réservé2026-03-05
2. Publiée2026-03-09
3. Modifiée2026-03-10
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Appsmith vers la version 1.96 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement la fonctionnalité "Invite Users" pour réduire la surface d'attaque. En attendant la mise à jour, une analyse des logs d'Appsmith peut aider à identifier des tentatives d'exploitation. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une surveillance accrue du trafic vers l'API /api/v1/admin/env est conseillée. Après la mise à jour, vérifiez que le widget Table fonctionne correctement et qu'aucune exécution de script malveillant n'est possible.