CVE-2026-35451 in twenty
الملخص
بحسب VulDB • 21/05/2026
Twenty هو نظام إدارة علاقات العملاء (CRM) مفتوح المصدر. قبل الإصدار 1.20.6، كان هناك ثغرة في تنفيذ نصوص عبر المواقع من النوع المخزن (Stored XSS) في مكون محرر BlockNote. ونظراً لغياب التحقق من البروتوكول في مكون FileBlock وعدم كفاية الفحص من جانب الخادم لمحتوى الكتلة، يمكن للمهاجم حقن عنوان URI من نوع javascript: في خاصية url الخاصة بكتلة الملف. وهذا يتيح تنفيذ نصوص JavaScript عشوائية عند النقر على مرفق الملف الخبيث. تم إصلاح هذه الثغرة في الإصدار 1.20.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.