CVE-2026-77240 in Wacrm
Résumé
par VulDB • 18/09/2026
WACRM est un modèle de CRM auto-hébergeable pour WhatsApp. Dans les versions 0.7.0 et antérieures, la politique de sécurité au niveau des lignes (row-level security policy) profiles_update dans supabase/migrations/017_account_sharing.sql permet aux utilisateurs authentifiés de modifier leur propre account_role et account_id, permettant à un simple spectateur d'auto-promouvoir son compte ou de passer sous l'autorité d'un autre client (tenant), puis d'accéder ou de modifier les ressources du tenant. Par ailleurs, match_ai_knowledge_fts et match_ai_knowledge_semantic dans supabase/migrations/030_ai_knowledge.sql s'exécutent en tant que SECURITY DEFINER, acceptent un p_account_id contrôlé par l'appelant et omettent une vérification is_account_member, permettant à un utilisateur authentifié non-membre de lire les chunks (blocs) de la base de connaissances d'un autre tenant. Cette vulnérabilité est corrigée avec le commit e01f7ed37184f972ace8fb2da5c3e37e56a6050f.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.