AppsmithのCodeMirrorベースSQLクエリエディタのオートコンプリートに、保存型クロスサイトスクリプティング（XSS）の脆弱性、CVE-2026-7299が存在します。共有PostgreSQLデータソースへの開発者アクセスを持つ攻撃者は、悪意のあるデータベースオブジェクト名にJavaScriptを注入できます。このペイロードは、ワークスペースのメンバーがSQLオートコンプリートをトリガーしたときに実行されます。成功した場合、被害者のブラウザで任意のJavaScriptを実行できます。これにより、セッションハイジャック、権限昇格、または認証情報窃盗につながる可能性があります。Appsmithは、内部ツールを構築するためのオープンソースのローコードプラットフォームです。この脆弱性は、特にデータベースオブジェクト名のオートコンプリート機能の処理に影響します。これらの名前をサニタイズしないことで、永続的なXSSインジェクションが可能になります。Appsmithバージョン2.1は、CVE-2026-7299に対処し、修正しています。ユーザーは、Appsmithのインストールを速やかに更新することを強く推奨します。