CVE-2026-55413: ToolJet: injeção de código no servidor via plugin compartilhado do marketplace

Visão geral

O ToolJet é uma plataforma de código aberto para construir ferramentas internas, fluxos de trabalho e agentes de IA. Segundo o aviso de segurança do GitHub, versões anteriores à 3.20.178-lts permitem que um usuário autenticado com a função builder sobrescreva um plugin do marketplace compartilhado globalmente com JavaScript arbitrário executado no servidor.

Impacto

O aviso descreve execução de código no servidor com acesso total ao Node.js, que o registro caracteriza como execução remota de código.
Como o plugin é compartilhado por toda a instância, o código roda quando qualquer usuário dispara uma consulta que usa esse plugin, criando risco de comprometimento da cadeia de suprimentos de toda a implantação.
O registro atribui pontuação base CVSS 4.0 de 9.4 (crítica), com vetor de rede, baixo privilégio exigido e sem interação do usuário, além de alto impacto em confidencialidade, integridade e disponibilidade.
A fraqueza é classificada como CWE-94 (Injeção de Código).

Produtos e versões afetados

Instâncias do ToolJet anteriores à 3.20.178-lts, conforme a descrição do aviso.
O registro não traz intervalos estruturados de produtos ou versões afetadas, então o limite foi extraído apenas da descrição.

Status de exploração

O campo KEV do registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. Não há pontuação EPSS disponível no registro.

Correção e mitigação

Atualize o ToolJet para a versão 3.20.178-lts ou superior, conforme a descrição do aviso.
Até concluir a atualização, restrinja a função builder a usuários confiáveis e revise quem a possui atualmente.
Revise os plugins do marketplace instalados na instância e verifique seu código contra cópias confiáveis conhecidas.
Restrinja quem pode publicar ou modificar plugins compartilhados e monitore alterações neles.

Orientações de detecção

Revise logs de auditoria ou da aplicação em busca de modificações em plugins do marketplace feitas por contas com a função builder.
Compare o código dos plugins instalados com fontes confiáveis e investigue alterações inesperadas.
Observe atividade incomum de processos no servidor originada da aplicação ToolJet após consultas baseadas em plugins.
São sugestões de alto nível; o registro não descreve indicadores de comprometimento específicos.

Limitações das informações disponíveis

O registro não tem título nativo, listas estruturadas de versões afetadas ou corrigidas, nem notas de correção do fornecedor além da descrição.
Dados de EPSS e SSVC estão ausentes.
O registro não informa se outras funções ou outros caminhos de modificação são afetados.
Não é possível determinar, a partir das fontes consultadas, se houve exploração anterior.

Perguntas frequentes

Quais versões do ToolJet são afetadas pela CVE-2026-55413?

Segundo a descrição do aviso no registro, versões anteriores à 3.20.178-lts são afetadas. O registro não traz intervalos estruturados de versões.

Qual é a versão corrigida?

A descrição informa que a vulnerabilidade está corrigida na 3.20.178-lts. Atualizar para essa versão ou superior é o principal passo de correção.

Esta CVE está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Ainda assim, a classificação crítica recomenda tratá-la como prioridade alta.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.