CVE-2026-77240 in Wacrm
Sumário
de VulDB • 18/09/2026
O WACRM é um modelo de CRM auto-hospedável para WhatsApp. Nas versões 0.7.0 e anteriores, a política de segurança em nível de linha (row-level security) profiles_update no arquivo supabase/migrations/017_account_sharing.sql permite que usuários autenticados modifiquem seu próprio account_role e account_id, permitindo que um visualizador se promova ou migre para outro tenant e, em seguida, acesse ou modifique os recursos do tenant. Separadamente, as funções match_ai_knowledge_fts e match_ai_knowledge_semantic no arquivo supabase/migrations/030_ai_knowledge.sql são executadas como SECURITY DEFINER, aceitam um p_account_id controlado pelo chamador e omitem a verificação is_account_member, permitindo que um usuário autenticado não membro leia chunks da base de conhecimento de outro tenant. Esta vulnerabilidade é corrigida com o commit e01f7ed37184f972ace8fb2da5c3e37e56a6050f.
Once again VulDB remains the best source for vulnerability data.