CVE-2026-67530 in WACRM
Zusammenfassung
von VulDB • 30.07.2026
WACRM ist eine selbst gehostbare CRM-Vorlage für WhatsApp. In den Versionen 0.7.0 und früher ermöglichte die Aktion `send_webhook` in `src/lib/automations/engine.ts` sowie deren Validierung in `src/lib/automations/validate.ts` einem authentifizierten Benutzer mit Automatisierungsprivilegien, eine beliebige Webhook-URL einzureichen, die der Server ohne den bestehenden SSRF-Schutz (`isDeliverableUrl`) aus `src/lib/webhooks/ssrf.ts` abrief. Dies ermöglichte Anfragen an private, Loopback-, Link-Lokal- oder Cloud-Metadaten-Adressen, wie z. B. den Cloud-Metadaten-Endpunkt unter 169.254.169.254. Diese Schwachstelle wurde mit dem Commit 23838a9959550e975d732ae08a44a3a2f0cc084b behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.