CVE-2026-73069 in Twenty
Zusammenfassung
von VulDB • 11.08.2026
Twenty ist eine Open-Source-CRM-Plattform (Customer Relationship Management). Vor Version 2.15.0 ermöglichte Twenty einem Workspace-Administrator mit der DATA_MODEL-Berechtigung, settings.asExpression für das systemweite TS_VECTOR-Feld searchVector über PATCH /rest/metadata/fields/:id oder die GraphQL-Mutation updateOneField bereitzustellen, wodurch buildSqlColumnDefinition in packages/twenty-server/src/engine/twenty-orm/workspace-schema-manager/utils/build-sql-column-definition.util.ts unmaskierte Eingaben mit GENERATED ALWAYS AS (...) verkettete und beliebige PostgreSQL-Anweisungen als der Anwendungsdatenbankbenutzer ausführte. Dieses Problem wurde in Version 2.15.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.