appsmithorg appsmith Dashboard WebClientUtils.java computeDisallowedHosts サーバーサイドリクエストフォージェリ (Server-Side Request Forgery)

このSSRF脆弱性を悪用されると、攻撃者はAppsmithサーバーをプロキシとして利用し、本来アクセスできないはずの内部ネットワークリソースにアクセスできてしまいます。例えば、内部データベースや管理インターフェースへのアクセス、機密情報の窃取などが考えられます。さらに、この脆弱性はリモートから攻撃可能であり、攻撃者がAppsmithサーバーを完全に制御する可能性も否定できません。公開されているPoCが存在することから、悪用されるリスクは高いと言えます。攻撃者は、内部ネットワーク内の他のシステムへの横展開を試みる可能性もあります。

Organizations deploying Appsmith in environments with internal services accessible via HTTP or HTTPS are at risk. This includes deployments where Appsmith is used to integrate with internal APIs or databases. Shared hosting environments where Appsmith instances share the same network infrastructure are particularly vulnerable, as a successful exploit could potentially compromise other systems on the same network.

• linux / server:

journalctl -u appsmith -g 'computeDisallowedHosts' | grep -i error

• generic web:

curl -I <appsmith_url>/api/v1/dashboards/some_dashboard | grep -i 'Server:'

• generic web:

curl -I <appsmith_url>/api/v1/dashboards/some_dashboard | grep -i 'X-Powered-By:'

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-02Patch

   patch

1. 予約済み2026-04-02
2. 公開日2026-04-02
3. 更新日2026-04-03
4. EPSS 更新日2026-04-10

この脆弱性への最も効果的な対策は、Appsmithをバージョン1.99にアップグレードすることです。アップグレードが困難な場合は、一時的な回避策として、Appsmithサーバーのファイアウォール設定を強化し、外部からの不要なアクセスを遮断してください。また、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御することも有効です。Appsmithのログを監視し、不審なリクエストを早期に発見することも重要です。アップグレード後、computeDisallowedHosts関数の動作を確認し、意図しない内部リソースへのアクセスがないことを確認してください。