appsmithorg appsmith Dashboard WebClientUtils.java computeDisallowedHosts 服务器端请求伪造 (Server-Side Request Forgery)

该 SSRF 漏洞允许攻击者通过 Appsmith 服务器发起请求到攻击者控制的内部或外部资源。攻击者可以利用此漏洞访问内部服务，读取敏感文件，甚至可能执行代码（取决于服务器配置）。由于该漏洞的利用方式公开可用，且攻击者可以远程发起攻击，因此其潜在影响非常大。攻击者可能利用此漏洞获取数据库凭据、API 密钥或其他敏感信息，从而进一步破坏系统安全。

Organizations deploying Appsmith in environments with internal services accessible via HTTP or HTTPS are at risk. This includes deployments where Appsmith is used to integrate with internal APIs or databases. Shared hosting environments where Appsmith instances share the same network infrastructure are particularly vulnerable, as a successful exploit could potentially compromise other systems on the same network.

• linux / server:

journalctl -u appsmith -g 'computeDisallowedHosts' | grep -i error

• generic web:

curl -I <appsmith_url>/api/v1/dashboards/some_dashboard | grep -i 'Server:'

• generic web:

curl -I <appsmith_url>/api/v1/dashboards/some_dashboard | grep -i 'X-Powered-By:'

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-02Patch

   patch

1. 已保留2026-04-02
2. 发布日期2026-04-02
3. 修改日期2026-04-03
4. EPSS 更新日期2026-04-10

解决此漏洞的最佳方法是立即升级到 Appsmith 1.99 版本或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以配置 Appsmith 服务器的防火墙，限制其可以访问的外部资源。此外，还可以审查 Appsmith 的配置，确保没有暴露任何敏感信息。如果升级过程出现问题，请尝试回滚到之前的稳定版本，并联系 Appsmith 技术支持寻求帮助。升级后，请验证漏洞是否已成功修复，可以通过尝试发起一个 SSRF 请求来确认。