製品・ソフトウェアに関する情報
Vulnerability Search
appsmithにおける複数の脆弱性
Title appsmithにおける複数の脆弱性
Summary

Appsmithは管理パネル、内部ツール、およびダッシュボードを構築するためのプラットフォームです。バージョン2.1以前では、バンドルされたCaddyリバースプロキシの管理APIにデフォルトで認証がなく、コンテナ内の0.0.0.0:2019にバインドされていました。このリスナーはdocker-compose.ymlでホストに直接公開されていませんが、Appsmithサーバープロセス自体やSSRFの脆弱性を通じてアクセス可能です。認証された権限の低いユーザーはSSRFを悪用してhttp://0.0.0.0:2019/に対してPOST /load（または他の管理APIコール）を発行し、ライブのCaddy構成を完全に置き換えてリバースプロキシを乗っ取ることができます。この脆弱性はバージョン2.1で修正されました。

Possible impacts ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 24, 2026, midnight
Registration Date June 29, 2026, 11:11 a.m.
Last Update June 29, 2026, 11:11 a.m.
CVSS3.0 : 緊急
Score 9.9
Vector CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Affected System
appsmith
appsmith 2.1 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年06月29日]
  掲載		 June 29, 2026, 11:11 a.m.
NVD Vulnerability Information
CVE-2026-55454
Summary

Appsmith is a platform to build admin panels, internal tools, and dashboards. Prior to 2.1, the bundled Caddy reverse-proxy's admin API — which has no authentication by default — is bound on 0.0.0.0:2019 inside the container. While this listener is not directly published to the host by docker-compose.yml, it is reachable from the Appsmith server process itself or a SSRF vulnerability. An authenticated low-privileged user can therefore drive the SSRF to issue POST /load (or any other admin-API call) against http://0.0.0.0:2019/, fully replacing the live Caddy configuration and taking over the reverse proxy. This vulnerability is fixed in 2.1.

Publication Date June 25, 2026, 7:16 a.m.
Registration Date June 27, 2026, 4:24 a.m.
Last Update June 27, 2026, 4:50 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:appsmith:appsmith:*:*:*:*:*:*:*:* 2.1
Related information, measures and tools
Common Vulnerabilities List