appsmithorg appsmith Dashboard WebClientUtils.java computeDisallowedHosts server-side request forgery

A exploração bem-sucedida da vulnerabilidade SSRF em Appsmith pode permitir que um atacante acesse recursos internos que normalmente não seriam acessíveis externamente. Isso pode incluir dados confidenciais armazenados em bancos de dados, arquivos de configuração ou outros serviços internos. Além disso, um atacante pode usar o servidor Appsmith como um proxy para realizar ataques contra outros sistemas na rede interna, ampliando o raio de impacto. A disponibilidade de um exploit público aumenta significativamente o risco de exploração, tornando a aplicação do patch uma prioridade.

Organizations deploying Appsmith in environments with internal services accessible via HTTP or HTTPS are at risk. This includes deployments where Appsmith is used to integrate with internal APIs or databases. Shared hosting environments where Appsmith instances share the same network infrastructure are particularly vulnerable, as a successful exploit could potentially compromise other systems on the same network.

• linux / server:

journalctl -u appsmith -g 'computeDisallowedHosts' | grep -i error

• generic web:

curl -I <appsmith_url>/api/v1/dashboards/some_dashboard | grep -i 'Server:'

• generic web:

curl -I <appsmith_url>/api/v1/dashboards/some_dashboard | grep -i 'X-Powered-By:'

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-02Patch

   patch

1. Reservado2026-04-02
2. Publicada2026-04-02
3. Modificada2026-04-03
4. EPSS atualizado2026-04-10

A mitigação primária para a vulnerabilidade CVE-2026-5418 é a atualização para a versão 1.99 do Appsmith. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como a restrição de acesso à rede e a configuração de firewalls para bloquear requisições suspeitas. Monitore os logs do servidor em busca de atividades anormais, como requisições para endereços IP internos ou externos inesperados. Após a atualização, confirme a correção verificando se a função computeDisallowedHosts está funcionando conforme o esperado e se as requisições estão sendo devidamente validadas.