CVE-2026-77240

Nome do Software Vulnerável e Versões Afetadas WACRM versões anteriores a 0.7.1

Descrição O software contém dois problemas de segurança. Primeiro, a política de segurança de nível de linha profiles update permite que usuários autenticados modifiquem suas próprias variáveis account role e account id, o que pode permitir que um usuário com permissões de visualizador eleve seus privilégios ou altere de locatário (tenant) para acessar e modificar recursos restritos. Segundo, as funções match ai knowledge fts() e match ai knowledge semantic() são executadas como SECURITY DEFINER—significando que são executadas com os privilégios do usuário que as criou—e aceitam a variável p account id controlada pelo chamador sem verificar se o usuário é membro daquela conta. Isso permite que não membros autenticados leiam fragmentos da base de conhecimento pertencentes a outros locatários.

Recomendações Atualize para a versão que contém o commit e01f7ed37184f972ace8fb2da5c3e37e56a6050f.