CVE-2026-24042Appsmith是一个用于构建管理面板、内部工具和仪表板的平台。该平台在1.94及以下版本中存在严重的安全漏洞，允许未认证用户在公开应用上执行未发布（编辑模式）的操作。攻击者通过在POST请求中设置viewMode=false或省略该参数，即可绕过预期的发布边界，访问本应仅限内部用户的编辑模式功能。这种访问控制缺陷导致敏感数据暴露、编辑模式查询和API被非法执行、开发数据被窃取，以及触发潜在的有害副作用。由于该漏洞无需认证即可利用，且CVSS评分高达9.4，对系统的机密性和完整性造成严重影响。截至漏洞披露时，官方尚未发布修复版本。
漏洞源于Appsmith的访问控制机制缺陷。正常情况下，公开应用的用户应仅能执行已发布版本的操作，但系统在验证用户权限时未正确处理viewMode参数。攻击者构造恶意请求POST /api/v1/actions/execute，通过设置viewMode=false绕过权限检查，直接访问编辑模式下的敏感操作。这允许未授权用户执行任意数据库查询、API调用和其他后端操作。系统缺少对编辑模式操作的强制访问控制，导致攻击者可以获取开发环境中的所有资源和配置信息。