CVE-2026-77239
WysokieCVSS 8.1Streszczenie
Podatność w WACRM (samodzielny szablon CRM dla WhatsApp) w wersji 0.7.0 i wcześniejszych dotyczy tras zapisu przepływów i automatyzacji, które uwierzytelniają przeglądających, ale nie egzekwują roli agenta przed użyciem klienta bazy danych z rolą usługi, omijając zabezpieczenia na poziomie wierszy. Przeglądający może tworzyć, edytować, aktywować lub usuwać przepływy oraz tworzyć aktywne automatyzacje i wyzwalać wychodzące działania WhatsApp bez wymaganej roli.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą wprowadzać nieautoryzowane zmiany w przepływach, usuwać je lub wysyłać wiadomości WhatsApp, co narusza integralność i poufność danych.
Rekomendacja
Zastosuj poprawkę z commitu 03e851bea56dcf6bb21ff1b80ba531372bf3269f lub zaktualizuj WACRM do wersji, która zawiera tę poprawkę. Dodatkowo egzekwuj role na poziomie aplikacji.
Inne podatności w WACRM
Zobacz wszystkie- CVE-2026-77240Krytyczne
WACRM w wersji 0.7.0 i wcześniejszych zawiera luki: zasady bezpieczeństwa na poziomie wierszy pozwalają uwierzytelnionym użytkownikom na zmianę własnej roli i identyfikatora konta, co umożliwia eskalację uprawnień i przeniesienie do innej dzierżawy. Ponadto funkcje match_ai_knowledge_fts i match_ai_knowledge_semantic uruchamiane z SECURITY DEFINER nie sprawdzają przynależności do konta, pozwalając niebędącym członkami na odczyt fragmentów bazy wiedzy innego dzierżawcy.
- CVE-2026-67530Średnie
WACRM 0.7.0 i wcześniejsze umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami automatyzacji wysłanie dowolnego adresu URL webhooka, który serwer pobiera bez zabezpieczenia SSRF. Pozwala to na żądania do prywatnych, pętli zwrotnej, link-local lub adresów metadanych chmury.
- CVE-2026-49141Wysokie
Podatność polegająca na braku weryfikacji własności dzierżawcy w silniku automatyzacji WACRM przed commitem 73041bf. Uwierzytelniony atakujący może uzyskać dostęp i modyfikować kontakty należące do innych dzierżawców, podając dowolny identyfikator contact_id w żądaniu POST, bez weryfikacji własności. Atakujący może wykorzystać klienta z rolą usługową, który omija zabezpieczenia na poziomie wierszy, aby zmieniać pola kontaktów ofiary (nazwa, email, firma) pomiędzy dzierżawcami, używając jedynie znanego UUID kontaktu.
Oryginalny opis (angielski, źródło NVD)
WACRM is a self-hostable CRM template for WhatsApp. In version 0.7.0 and earlier, WACRM flow and automation write routes authenticate account viewers but do not enforce the agent role before using a service-role database client that bypasses row-level security. In src/app/api/flows/[id]/route.ts, src/app/api/flows/[id]/activate/route.ts, and src/app/api/flows/route.ts, a viewer can create, edit, activate, or delete flows because membership-only checks are followed by service-role writes. In src/app/api/automations/route.ts and src/app/api/automations/engine/route.ts, a viewer can create active automations and trigger outbound WhatsApp actions without the role required by the underlying write policies. This can permit unauthorized workflow changes, destructive flow deletion, and outbound actions from a role intended to be read-only. This vulnerability is fixed with commit 03e851bea56dcf6bb21ff1b80ba531372bf3269f.