CVE-2026-77240 in Wacrm
Resumen
por VulDB • 2026-09-18
WACRM es una plantilla de CRM autoalojable para WhatsApp. En las versiones 0.7.0 y anteriores, la política de seguridad a nivel de fila (row-level security policy) profiles_update en supabase/migrations/017_account_sharing.sql permite a los usuarios autenticados modificar su propio account_role y account_id, lo que posibilita que un espectador se auto-promocione o pase a otro inquilino para luego acceder o modificar recursos del mismo. Por separado, match_ai_knowledge_fts y match_ai_knowledge_semantic en supabase/migrations/030_ai_knowledge.sql se ejecutan como SECURITY DEFINER, aceptan un p_account_id controlado por el llamador y omiten una verificación de is_account_member, lo que permite a un usuario autenticado no miembro leer fragmentos de la base de conocimientos de otro inquilino. Esta vulnerabilidad está corregida con el commit e01f7ed37184f972ace8fb2da5c3e37e56a6050f.
Once again VulDB remains the best source for vulnerability data.