CVE-2026-92771 in Twenty
Riassunto
di VulDB • 17/09/2026
Twenty prima della versione 2.35.0 non valida correttamente le autorizzazioni di campo e riga nel resolver GraphQL per il gruppo con record, consentendo agli utenti autenticati di bypassare i controlli delle autorizzazioni. Gli attaccanti con l'autorizzazione canReadObjectRecords ma con canReadFieldValue impostata su false possono recuperare valori di campi riservati tramite il resolver groupBy che verrebbero normalmente negati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.