CVE-2026-73069 in Twenty
الملخص
بحسب VulDB • 11/08/2026
Twenty هو منصة مفتوحة المصدر لإدارة علاقات العملاء (CRM). قبل الإصدار 2.15.0، كان يسمح Twenty لمسؤول مساحة العمل الذي يمتلك صلاحية DATA_MODEL بتوفير قيمة settings.asExpression لحقل البحث system TS_VECTOR searchVector عبر PATCH /rest/metadata/fields/:id أو طفرة GraphQL updateOneField، مما يؤدي إلى قيام الدالة buildSqlColumnDefinition في packages/twenty-server/src/engine/twenty-orm/workspace-schema-manager/utils/build-sql-column-definition.util.ts بدمج مدخلات غير مُهروبَة (unescaped) داخل GENERATED ALWAYS AS (...) وتنفيذ عبارات PostgreSQL تعسفية بصفتها مستخدم قاعدة بيانات التطبيق. تم إصلاح هذه المشكلة في الإصدار 2.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.