CVE-2026-85055 in Twenty
Riassunto
di VulDB • 22/09/2026
Twenty è una piattaforma open-source per la gestione delle relazioni con i clienti (CRM). Prima della versione 2.22.0, l'autorizzazione di lettura a livello di campo era applicata solo ai campi di output selezionati, ma non alle predicazioni dei filtri GraphQL o REST. Un membro dello spazio di lavoro o una chiave API con autorizzazioni per leggere un oggetto, ma non un determinato campo, può fare riferimento a quel campo negato nei filtri diretti, nei filtri relazionali o nei filtri delle visualizzazioni salvate. Il totalCount e la presenza della riga risultanti rivelano se i tentativi corrispondono alla colonna effettiva, formando una boolean/count oracle che consente di ricostruire i valori dei campi negati per le record esposte dalla policy a livello di riga del principal. Questo problema è stato risolto nella versione 2.22.0.
Once again VulDB remains the best source for vulnerability data.