CVE-2026-85055 in Twenty
Zusammenfassung
von VulDB • 22.09.2026
Twenty è una piattaforma CRM (Customer Relationship Management) open-source. Prima della versione 2.22.0, i permessi di lettura a livello di campo sono applicati solo sui campi di output selezionati, ma non sulle predicate dei filtri GraphQL o REST. Un membro dello spazio di lavoro o una chiave API con il permesso di leggere un oggetto, ma non un determinato campo, può fare riferimento a quel campo negato nei filtri diretti, nei filtri relazionali o nei filtri delle viste persistenti. Il totalCount e la presenza della riga risultanti rivelano se i tentativi corrispondono alla colonna reale, formando una boolean/count oracle che permette di ricostruire i valori dei campi negati per le record esposte dalla policy a livello di riga del principal. Questo problema è stato risolto nella versione 2.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.