Vulnerabilidade Crítica de XSS Armazenado e Escalada de Privilégios em Appsmith

O impacto desta vulnerabilidade é severo. Um atacante, mesmo com uma conta de usuário regular, pode explorar a funcionalidade "Invite Users" para induzir um administrador a executar uma chamada de API de alto privilégio (/api/v1/admin/env). Isso permite ao atacante obter acesso total ao painel de administração, podendo visualizar, modificar ou excluir dados sensíveis, além de configurar novas contas com privilégios administrativos. O potencial de dano é significativo, podendo levar à perda de dados, interrupção do serviço e comprometimento da integridade da aplicação.

Organizations utilizing Appsmith for building internal tools and admin panels are at risk, particularly those with System Administrator accounts that are susceptible to social engineering attacks. Shared hosting environments where multiple users share an Appsmith instance are also at increased risk, as a compromised regular user account could potentially lead to administrative access.

• javascript / web:

// Check for suspicious API calls to /api/v1/admin/env in Appsmith logs
// Look for requests originating from unusual user accounts

• generic web:

curl -I 'https://<appsmith_instance>/api/v1/admin/env' | grep -i '200 OK'

• generic web:

# Check Appsmith access logs for POST requests to /api/v1/admin/env
# with unusual user agents or referrer headers

1. 2026-03-09Disclosure

   disclosure

1. Reservado2026-03-05
2. Publicada2026-03-09
3. Modificada2026-03-10
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização imediata para a versão 1.96 ou superior do Appsmith. Como atualização imediata é a solução recomendada, não há rollbacks viáveis. Para ambientes onde a atualização imediata não é possível, considere implementar regras de firewall (WAF) ou proxy para bloquear requisições suspeitas direcionadas à API /api/v1/admin/env. Monitore logs de acesso e erros em busca de padrões de ataque, como tentativas de injeção de código JavaScript na funcionalidade de convite de usuários.