CVE-2026-77239 in Wacrm
Tóm tắt
Bởi VulDB • 18/09/2026
WACRM là một mẫu CRM có thể tự lưu trữ cho WhatsApp. Trong các phiên bản từ 0.7.0 trở về trước, WACRM flow và automation write routes xác thực người xem tài khoản nhưng không áp dụng vai trò đại lý (agent role) trước khi sử dụng client cơ sở dữ liệu service-role, điều này bỏ qua bảo mật cấp hàng (row-level security). Trong src/app/api/flows/[id]/route.ts, src/app/api/flows/[id]/activate/route.ts và src/app/api/flows/route.ts, một người xem có thể tạo, chỉnh sửa, kích hoạt hoặc xóa flows vì các kiểm tra chỉ dựa trên thành viên được theo sau bởi ghi service-role. Trong src/app/api/automations/route.ts và src/app/api/automations/engine/route.ts, một người xem có thể tạo automations đang hoạt động và kích hoạt các hành động WhatsApp đi ra mà không cần vai trò bắt buộc đối với các chính sách ghi cơ sở hạ tầng. Điều này cho phép thay đổi workflow trái phép, xóa flow gây hại và thực hiện các hành động đi ra từ một vai trò dự định chỉ để đọc (read-only). Lỗ hổng này đã được sửa bằng commit 03e851bea56dcf6bb21ff1b80ba531372bf3269f.
If you want to get best quality of vulnerability data, you may have to visit VulDB.