CVE-2026-22794

Appsmith: przejęcie konta przez manipulację nagłówkiem Origin w linkach e-mail

CVSS 9.6v3.1pub. 2026-01-12upd. 2026-01-21

W platformie Appsmith przed wersją 1.93 serwer używa wartości nagłówka Origin z żądania HTTP jako bazowego URL w linkach do resetowania hasła i weryfikacji e-mail bez jakiejkolwiek walidacji. Atakujący kontrolujący nagłówek Origin może skierować ofiarę na złośliwą domenę i przechwycić tokeny uwierzytelniające, co prowadzi do przejęcia konta.

▸ Pokaż oryginał (EN)

Appsmith is a platform to build admin panels, internal tools, and dashboards. Prior to 1.93, the server uses the Origin value from the request headers as the email link baseUrl without validation. If an attacker controls the Origin, password reset / email verification links in emails can be generated pointing to the attacker’s domain, causing authentication tokens to be exposed and potentially leading to account takeover. This vulnerability is fixed in 1.93.

🤖 Analiza AI

Jak działa

Podatność wynika z braku walidacji wartości nagłówka Origin (CWE-346 — Origin Validation Error) przy generowaniu linków wysyłanych pocztą elektroniczną. Atakujący inicjuje żądanie resetowania hasła lub weryfikacji e-mail dla docelowego konta, podstawiając w nagłówku Origin adres kontrolowanej przez siebie domeny. Serwer Appsmith bez sprawdzenia wiarygodności tej wartości osadza ją jako bazowy URL w wiadomości e-mail wysyłanej do ofiary. Gdy ofiara kliknie w taki link, token uwierzytelniający zawarty w URL trafia do serwera atakującego.

Skutki

Atakujący może przechwycić token resetowania hasła lub weryfikacji e-mail i wykorzystać go do przejęcia pełnej kontroli nad kontem ofiary w Appsmith.

Mitygacja

Należy zaktualizować Appsmith do wersji 1.93 lub nowszej, w której problem został naprawiony (commit 6f9ee6226bac13fb4b836940b557913fff78b633). Jeśli natychmiastowa aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji resetowania hasła i weryfikacji e-mail na poziomie sieci.

Kogo dotyczy

Appsmith we wszystkich wersjach przed 1.93.

Uwagi

Podatność wymaga interakcji użytkownika (UI:R) — ofiara musi kliknąć w spreparowany link w wiadomości e-mail. Zakres ataku jest zmieniony (S:C), co wskazuje na wpływ wykraczający poza sam komponent podatny. Szczegóły dostępne w GitHub Security Advisory GHSA-7hf5-mc28-xmcv.