CVE-2026-77240 in Wacrm
요약
\~에 의해 VulDB • 2026. 09. 18.
WACRM은 WhatsApp용 자체 호스팅 가능한 CRM 템플릿입니다. 버전 0.7.0 및 그 이전 버전에서 supabase/migrations/017_account_sharing.sql의 profiles_update 행 수준 보안 정책(Row-Level Security policy)은 인증된 사용자가 자신의 account_role과 account_id를 수정할 수 있도록 하여, 뷰어(self-promote 또는 타 테넌트로 이동 가능)가 다른 테넌트의 리소스에 접근하거나 수정할 수 있게 합니다. 별도로, supabase/migrations/030_ai_knowledge.sql의 match_ai_knowledge_fts 및 match_ai_knowledge_semantic은 SECURITY DEFINER로 실행되며 호출자 제어 p_account_id를 허용하고 is_account_member 검사를 생략하므로, 인증된 비멤버가 다른 테넌트의 지식베이스 청크(knowledge-base chunks)를 읽을 수 있습니다. 이 취약점은 커밋 e01f7ed37184f972ace8fb2da5c3e37e56a6050f로 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.