CVE-2026-67530

ŚrednieCVSS 6.4

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 31/07/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

WACRM 0.7.0 i wcześniejsze umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami automatyzacji wysłanie dowolnego adresu URL webhooka, który serwer pobiera bez zabezpieczenia SSRF. Pozwala to na żądania do prywatnych, pętli zwrotnej, link-local lub adresów metadanych chmury.

Ocena ryzyka

Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych, w tym metadanych chmury (np. 169.254.169.254), co może prowadzić do wycieku wrażliwych danych lub eskalacji uprawnień.

Rekomendacja

Zastosuj commit 23838a9959550e975d732ae08a44a3a2f0cc084b lub zaktualizuj do nowszej wersji WACRM.

Inne podatności w WACRM

CVE-2026-49141Wysokie
Podatność polegająca na braku weryfikacji własności dzierżawcy w silniku automatyzacji WACRM przed commitem 73041bf. Uwierzytelniony atakujący może uzyskać dostęp i modyfikować kontakty należące do innych dzierżawców, podając dowolny identyfikator contact_id w żądaniu POST, bez weryfikacji własności. Atakujący może wykorzystać klienta z rolą usługową, który omija zabezpieczenia na poziomie wierszy, aby zmieniać pola kontaktów ofiary (nazwa, email, firma) pomiędzy dzierżawcami, używając jedynie znanego UUID kontaktu.

Oryginalny opis (angielski, źródło NVD)

WACRM is a self-hostable CRM template for WhatsApp. In 0.7.0 and earlier, the automation send_webhook action in src/lib/automations/engine.ts and its validation in src/lib/automations/validate.ts allowed an authenticated user with automation privileges to submit an arbitrary webhook URL that the server fetched without the existing isDeliverableUrl SSRF guard in src/lib/webhooks/ssrf.ts, allowing requests to private, loopback, link-local, or cloud metadata addresses such as the cloud metadata endpoint at 169.254.169.254. This vulnerability is fixed with commit 23838a9959550e975d732ae08a44a3a2f0cc084b.