CVE-2026-77239 in Wacrm
Zusammenfassung
von VulDB • 18.09.2026
WACRM ist eine selbst hostbare CRM-Vorlage für WhatsApp. In den Versionen 0.7.0 und früher authentifizieren WACRM-Fluss- und Automatisierungsrouten zwar Kontobetrachter, erzwingen jedoch die Agent-Rolle nicht, bevor ein Datenbankclient mit Service-Rolle verwendet wird, der die zeilenbasierte Sicherheit (Row-Level Security) umgeht. In src/app/api/flows/[id]/route.ts, src/app/api/flows/[id]/activate/route.ts und src/app/api/flows/route.ts kann ein Betrachter Flüsse erstellen, bearbeiten, aktivieren oder löschen, da Mitgliedschaftsprüfungen von Schreibvorgängen mit Service-Rolle gefolgt werden. In src/app/api/automations/route.ts und src/app/api/automations/engine/route.ts kann ein Betrachter aktive Automatisierungen erstellen und ausgehende WhatsApp-Aktionen auslösen, ohne die für die zugrunde liegenden Schreibrichtlinien erforderliche Rolle zu besitzen. Dies kann unbefugte Workflow-Änderungen, zerstörerische Fluss-Löschungen sowie ausgehende Aktionen von einer Rolle ermöglichen, die eigentlich nur zum Lesen gedacht ist. Diese Schwachstelle wurde mit dem Commit 03e851bea56dcf6bb21ff1b80ba531372bf3269f behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.