CVE-2026-55454

Nome do Software Vulnerável e Versões Afetadas Appsmith versões anteriores a 2.1

Descrição A API de administração do proxy reverso Caddy integrado está vinculada ao 0.0.0.0:2019 dentro do contêiner e não possui autenticação por padrão. Embora o listener não seja publicado no host, ele permanece acessível ao processo do servidor Appsmith ou via Server-Side Request Forgery (SSRF) — uma técnica onde um invasor induz um servidor a fazer requisições a um recurso interno. Um usuário autenticado com baixos privilégios pode explorar um SSRF para enviar requisições ao endpoint 'POST /load' ou outras chamadas de API de administração em http://0.0.0.0:2019/, permitindo a substituição da configuração ativa do Caddy e a tomada de controle do proxy reverso.

Recomendações Atualizar para a versão 2.1.