CVE-2026-49141

WysokieCVSS 7.1

Opublikowano: 08/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Podatność polegająca na braku weryfikacji własności dzierżawcy w silniku automatyzacji WACRM przed commitem 73041bf. Uwierzytelniony atakujący może uzyskać dostęp i modyfikować kontakty należące do innych dzierżawców, podając dowolny identyfikator contact_id w żądaniu POST, bez weryfikacji własności. Atakujący może wykorzystać klienta z rolą usługową, który omija zabezpieczenia na poziomie wierszy, aby zmieniać pola kontaktów ofiary (nazwa, email, firma) pomiędzy dzierżawcami, używając jedynie znanego UUID kontaktu.

Ocena ryzyka

Wysokie ryzyko naruszenia izolacji danych pomiędzy dzierżawcami, co może prowadzić do wycieku lub modyfikacji wrażliwych danych kontaktowych.

Rekomendacja

Zastosuj łatkę z commitem 73041bf lub nowszym, która wprowadza weryfikację własności dzierżawcy dla identyfikatora contact_id.

Inne podatności w WACRM

CVE-2026-67530Średnie
WACRM 0.7.0 i wcześniejsze umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami automatyzacji wysłanie dowolnego adresu URL webhooka, który serwer pobiera bez zabezpieczenia SSRF. Pozwala to na żądania do prywatnych, pętli zwrotnej, link-local lub adresów metadanych chmury.

Oryginalny opis (angielski, źródło NVD)

WACRM prior to commit 73041bf contain an authorization bypass vulnerability in the automation engine that allows authenticated attackers to access and modify contacts belonging to other tenants by supplying an arbitrary caller-controlled contact_id in the POST request body without tenant ownership verification. Attackers can exploit the service-role client that bypasses row-level security to modify victim contact fields including name, email, and company across tenant boundaries using only a known contact UUID.