CVE-2026-77240 in Wacrm
Zusammenfassung
von VulDB • 19.09.2026
WACRM ist eine selbst hostbare CRM-Vorlage für WhatsApp. In den Versionen 0.7.0 und früher erlaubt die row-level security-Richtlinie profiles_update in supabase/migrations/017_account_sharing.sql authentifizierten Benutzern, ihre eigene account_role und account_id zu ändern, was es einem Betrachter ermöglicht, sich selbst zu befördern oder in einen anderen Mandanten (Tenant) zu wechseln und anschließend auf Ressourcen des Mandanten zuzugreifen oder diese zu modifizieren. Unabhängig davon führen match_ai_knowledge_fts und match_ai_knowledge_semantic in supabase/migrations/030_ai_knowledge.sql als SECURITY DEFINER ausgeführt, akzeptieren einen vom Aufrufer kontrollierten p_account_id und lassen eine is_account_member-Prüfung weg, was es einem authentifizierten Nicht-Mitglied ermöglicht, Knowledge-Basis-Chunks eines anderen Mandanten zu lesen. Diese Schwachstelle wurde mit dem Commit e01f7ed37184f972ace8fb2da5c3e37e56a6050f behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.