CVE-2026-55455: SSRF no Appsmith por filtro fraco de hosts de saída em datasources HTTP

Visão geral

O CVE-2026-55455 é uma falha de server-side request forgery no Appsmith, plataforma para construção de painéis administrativos, ferramentas internas e dashboards. Segundo a descrição, o filtro de host de saída HTTP do WebClientUtils valida hosts por meio de uma lista de bloqueio com correspondência exata de strings. As verificações mais robustas de classes de endereço, usadas no caminho SMTP, não são aplicadas ao caminho do plugin HTTP, usado pelos datasources REST API e GraphQL. A fraqueza é classificada como CWE-918.

Impacto

A descrição informa que um usuário autenticado pode fazer requisições de saída que alcançam serviços vinculados a endereços de loopback dentro do contêiner do Appsmith.
O NVD atribui pontuação 9.1 (crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, o que indica alto impacto em confidencialidade e integridade, acessível pela rede, com baixa complexidade e sem interação do usuário.
A entrada da CNA (GitHub Security Advisories) registra pontuação CVSS 4.0 de 5.3. As fontes não explicam a diferença entre as duas pontuações.
O registro não descreve quais serviços internos existem em cada implantação, portanto o alcance prático da falha depende de cada instalação.

Produtos e versões afetadas

Produto: Appsmith (Appsmith Appsmith).
Faixa afetada registrada: versões anteriores à 2.1 (< 2.1).
O registro não fornece builds intermediárias específicas nem tipos de implantação além dessa faixa.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. Dados do EPSS não estão disponíveis no registro.

Correção e mitigação

Atualize o Appsmith para a versão 2.1 ou posterior, conforme informado na descrição. A lista de correções do registro está vazia, portanto consulte o GitHub Security Advisory para confirmar os detalhes da versão corrigida.
Até que a atualização seja aplicada, restrinja quais usuários podem criar ou editar datasources REST API e GraphQL, já que a descrição exige um usuário autenticado.
Revise as políticas de saída de rede do contêiner do Appsmith para que ele não alcance serviços internos sensíveis que não precisa acessar.
Limite o acesso a serviços vinculados a loopback dentro do contêiner e não confie apenas nessa configuração como proteção.

Orientações de detecção

Revise os logs de auditoria e a atividade administrativa em busca de datasources REST API ou GraphQL criados ou alterados recentemente que apontem para destinos incomuns ou internos.
Monitore conexões de saída do contêiner do Appsmith para destinos inesperados, especialmente endereços locais ou internos.
Verifique o inventário de versões do Appsmith para identificar instâncias anteriores à 2.1.

Limitações das informações disponíveis

O registro não inclui uma análise técnica do código vulnerável além da descrição, e esta análise não acrescenta uma.
As pontuações CVSS 3.1 e 4.0 vêm de fornecedores diferentes e não são conciliadas pelas fontes.
A lista de correções do registro está vazia, então a versão corrigida é indicada apenas pelo texto da descrição.
Não há dados de KEV, EPSS ou SSVC para este CVE no registro.

Perguntas frequentes

Quais versões do Appsmith são afetadas pelo CVE-2026-55455?

O registro indica versões anteriores à 2.1 como afetadas. A descrição informa que a vulnerabilidade está corrigida na versão 2.1.

Esta falha exige autenticação?

A descrição informa que um usuário autenticado pode elaborar as requisições de saída. O vetor CVSS mostra PR:N, que o NVD interpreta como nenhum privilégio exigido; as fontes não conciliam esses pontos além do texto da descrição.

Há exploração ativa conhecida deste CVE?

Não. O catálogo KEV não o lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.