PT-2026-28632

CVE-2026-34411

Publicado

2026-03-27

Atualizado

2026-04-01

Descrição por

CVSS 4.0

6.9

Média

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Appsmith versões anteriores a 1.98

Descrição Endpoints de API de gerenciamento de instância sensíveis estão expostos sem autenticação. Atacantes não autenticados podem consultar endpoints como '/api/v1/consolidated-api/view' e '/api/v1/tenants/current' para recuperar metadados de configuração, informações de licença e hashes SHA-256 não salgados de domínios de e-mail de administradores para reconhecimento e planejamento de ataques direcionados.

Recomendações Atualize para a versão 1.98 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Neo-Ai-Engineer

Ritikchaddha

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-306: Missing Authentication for Critical Function