CVE-2026-77239 in Wacrm
要約
〜によって VulDB • 2026年09月18日
WACRMはWhatsApp用の自己ホスト型CRMテンプレートです。バージョン0.7.0およびそれ以前のバージョンでは、WACRMのフローと自動化における書き込みルートの認証処理がアカウント閲覧者のみを検証しており、サービスロール権限を持つデータベースクライアントを使用して行レベルセキュリティ（RLS）をバイパスする前にエージェント役割を強制していません。src/app/api/flows/[id]/route.ts、src/app/api/flows/[id]/activate/route.ts、および src/app/api/flows/route.ts において、閲覧者はメンバーシップのみのチェックがサービスロールによる書き込み処理に続くため、フローの作成、編集、有効化、または削除を行うことができます。また、src/app/api/automations/route.ts および src/app/api/automations/engine/route.ts においては、閲覧者が基盤となる書き込みポリシーで要求される役割を持たずにアクティブな自動化を作成し、送信先のWhatsAppアクションをトリガーすることができます。これにより、読み取り専用であるはずのロールから不正なワークフローの変更、破壊的なフローの削除、および外部へのアクション実行が許可されてしまいます。この脆弱性はコミット 03e851bea56dcf6bb21ff1b80ba531372bf3269f で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.