Podatności WACRM

Podatność w WACRM (samodzielny szablon CRM dla WhatsApp) w wersji 0.7.0 i wcześniejszych dotyczy tras zapisu przepływów i automatyzacji, które uwierzytelniają przeglądających, ale nie egzekwują roli agenta przed użyciem klienta bazy danych z rolą usługi, omijając zabezpieczenia na poziomie wierszy. Przeglądający może tworzyć, edytować, aktywować lub usuwać przepływy oraz tworzyć aktywne automatyzacje i wyzwalać wychodzące działania WhatsApp bez wymaganej roli.

WACRM w wersji 0.7.0 i wcześniejszych zawiera luki: zasady bezpieczeństwa na poziomie wierszy pozwalają uwierzytelnionym użytkownikom na zmianę własnej roli i identyfikatora konta, co umożliwia eskalację uprawnień i przeniesienie do innej dzierżawy. Ponadto funkcje match_ai_knowledge_fts i match_ai_knowledge_semantic uruchamiane z SECURITY DEFINER nie sprawdzają przynależności do konta, pozwalając niebędącym członkami na odczyt fragmentów bazy wiedzy innego dzierżawcy.

WACRM 0.7.0 i wcześniejsze umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami automatyzacji wysłanie dowolnego adresu URL webhooka, który serwer pobiera bez zabezpieczenia SSRF. Pozwala to na żądania do prywatnych, pętli zwrotnej, link-local lub adresów metadanych chmury.

Podatność polegająca na braku weryfikacji własności dzierżawcy w silniku automatyzacji WACRM przed commitem 73041bf. Uwierzytelniony atakujący może uzyskać dostęp i modyfikować kontakty należące do innych dzierżawców, podając dowolny identyfikator contact_id w żądaniu POST, bez weryfikacji własności. Atakujący może wykorzystać klienta z rolą usługową, który omija zabezpieczenia na poziomie wierszy, aby zmieniać pola kontaktów ofiary (nazwa, email, firma) pomiędzy dzierżawcami, używając jedynie znanego UUID kontaktu.