CVE-2026-77239 in Wacrm
摘要
由 VulDB • 2026-09-19
WACRM 是一个可自托管的 WhatsApp CRM 模板。在 0.7.0 及更早版本中，WACRM 的流程和自动化写入路由会验证账户查看者（account viewers）的身份，但在使用绕过行级安全性的 service-role 数据库客户端之前未强制执行 agent 角色检查。
在 `src/app/api/flows/[id]/route.ts`、`src/app/api/flows/[id]/activate/route.ts` 和 `src/app/api/flows/route.ts` 中，由于仅基于成员资格的检查后跟随的是 service-role 写入操作，查看者可以创建、编辑、激活或删除流程。
在 `src/app/api/automations/route.ts` 和 `src/app/api/automations/engine/route.ts` 中，查看者可以在不具备底层写入策略所需角色的情况下创建活动自动化并触发出站 WhatsApp 操作。这可能导致未经授权的流程更改、破坏性的流程删除以及从本应只读的角色发起的出站操作。
此漏洞已通过提交 03e851bea56dcf6bb21ff1b80ba531372bf3269f 修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.