CVE-2026-92771 in Twenty
Resumen
por VulDB • 2026-09-16
Twenty antes de la versión 2.35.0 no valida los permisos de campo y fila en el res GraphQL `groupBy-with-records`, lo que permite a usuarios autenticados omitir las comprobaciones de permisos. Los atacantes con permiso `canReadObjectRecords` pero sin `canReadFieldValue` (false) pueden recuperar valores restringidos del campo mediante el resolver `groupBy` que normalmente estarían denegados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.