CVE-2026-49141
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność polegająca na braku weryfikacji własności dzierżawcy w silniku automatyzacji WACRM przed commitem 73041bf. Uwierzytelniony atakujący może uzyskać dostęp i modyfikować kontakty należące do innych dzierżawców, podając dowolny identyfikator contact_id w żądaniu POST, bez weryfikacji własności. Atakujący może wykorzystać klienta z rolą usługową, który omija zabezpieczenia na poziomie wierszy, aby zmieniać pola kontaktów ofiary (nazwa, email, firma) pomiędzy dzierżawcami, używając jedynie znanego UUID kontaktu.
Ocena ryzyka
Wysokie ryzyko naruszenia izolacji danych pomiędzy dzierżawcami, co może prowadzić do wycieku lub modyfikacji wrażliwych danych kontaktowych.
Rekomendacja
Zastosuj łatkę z commitem 73041bf lub nowszym, która wprowadza weryfikację własności dzierżawcy dla identyfikatora contact_id.
Inne podatności w WACRM
Zobacz wszystkie- CVE-2026-77240Krytyczne
WACRM w wersji 0.7.0 i wcześniejszych zawiera luki: zasady bezpieczeństwa na poziomie wierszy pozwalają uwierzytelnionym użytkownikom na zmianę własnej roli i identyfikatora konta, co umożliwia eskalację uprawnień i przeniesienie do innej dzierżawy. Ponadto funkcje match_ai_knowledge_fts i match_ai_knowledge_semantic uruchamiane z SECURITY DEFINER nie sprawdzają przynależności do konta, pozwalając niebędącym członkami na odczyt fragmentów bazy wiedzy innego dzierżawcy.
- CVE-2026-77239Wysokie
Podatność w WACRM (samodzielny szablon CRM dla WhatsApp) w wersji 0.7.0 i wcześniejszych dotyczy tras zapisu przepływów i automatyzacji, które uwierzytelniają przeglądających, ale nie egzekwują roli agenta przed użyciem klienta bazy danych z rolą usługi, omijając zabezpieczenia na poziomie wierszy. Przeglądający może tworzyć, edytować, aktywować lub usuwać przepływy oraz tworzyć aktywne automatyzacje i wyzwalać wychodzące działania WhatsApp bez wymaganej roli.
- CVE-2026-67530Średnie
WACRM 0.7.0 i wcześniejsze umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami automatyzacji wysłanie dowolnego adresu URL webhooka, który serwer pobiera bez zabezpieczenia SSRF. Pozwala to na żądania do prywatnych, pętli zwrotnej, link-local lub adresów metadanych chmury.
Oryginalny opis (angielski, źródło NVD)
WACRM prior to commit 73041bf contain an authorization bypass vulnerability in the automation engine that allows authenticated attackers to access and modify contacts belonging to other tenants by supplying an arbitrary caller-controlled contact_id in the POST request body without tenant ownership verification. Attackers can exploit the service-role client that bypasses row-level security to modify victim contact fields including name, email, and company across tenant boundaries using only a known contact UUID.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS