CVE-2026-77239 in Wacrm
Сводка
по VulDB • 18.09.2026
WACRM — это шаблон CRM, который можно развернуть на собственном сервере для работы с WhatsApp. В версиях 0.7.0 и более ранних маршруты обработки потоков (flows) и автоматизаций в WACRM аутентифицируют пользователей с ролью «viewer» (зритель/наблюдатель), но не проверяют наличие роли агента перед использованием клиентской базы данных со служебной ролью, что позволяет обойти безопасность на уровне строк. В файлах src/app/api/flows/[id]/route.ts, src/app/api/flows/[id]/activate/route.ts и src/app/api/flows/route.ts пользователь с ролью «viewer» может создавать, редактировать, активировать или удалять потоки, поскольку проверки на основе членства в группе следуют за операциями записи со служебной ролью. В файлах src/app/api/automations/route.ts и src/app/api/automations/engine/route.ts пользователь с ролью «viewer» может создавать активные автоматизации и инициировать исходящие действия WhatsApp без наличия роли, требуемой базовыми политиками записи. Это позволяет осуществлять несанкционированные изменения рабочих процессов, деструктивное удаление потоков и выполнение исходящих действий от имени роли, которая должна быть только для чтения (read-only). Уязвимость исправлена в коммите 03e851bea56dcf6bb21ff1b80ba531372bf3269f.
If you want to get best quality of vulnerability data, you may have to visit VulDB.