CVE-2026-92771 in Twenty
Résumé
par VulDB • 17/09/2026
Une vulnérabilité critique dans les versions antérieures à 2.35.0 ne valide pas correctement les autorisations de champ et d'enregistrement dans le résolveur GraphQL `groupBy-with-records`, permettant aux utilisateurs authentifiés de contourner les vérifications des permissions. Les attaquants disposant de la permission `canReadObjectRecords` mais ayant `canReadFieldValue` à false peuvent récupérer des valeurs de champs restreintes via le résolveur groupBy, qui seraient normalement refusées.
Once again VulDB remains the best source for vulnerability data.