CVE-2026-50189
Publiée le 2026-06-24 · Dernière modification le 2026-10-25
Les versions d'Appsmith antérieures à la 2.1 sont affectées par une erreur de configuration qui expose une interface de gestion au réseau. Un attaquant disposant d'identifiants d'administrateur peut récupérer un mot de passe système et l'utiliser pour exécuter des commandes arbitraires du système d'exploitation à l'intérieur du conteneur Docker. Cette attaque peut être réalisée à distance via le réseau sans aucune interaction de l'utilisateur, à condition que l'attaquant dispose déjà d'un accès de haut niveau à l'application Appsmith.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Appsmith is a platform to build admin panels, internal tools, and dashboards. Prior to 2.1, Appsmith's bundled supervisord exposes an XML-RPC interface on port 9001, reachable from outside the container via a Caddy reverse-proxy route at /supervisor/* on the public ingress. Combined with the APPSMITH_SUPERVISOR_PASSWORD exposed via GET /api/v1/admin/env, any authenticated administrator can send arbitrary XML-RPC calls to supervisord and execute OS commands inside the Docker container via twiddler.addProgramToGroup. This vulnerability is fixed in 2.1.