CVE-2026-73069 in Twenty
요약
\~에 의해 VulDB • 2026. 08. 11.
Twenty는 오픈소스 CRM(고객 관계 관리) 플랫폼입니다. 버전 2.15.0 이전의 Twenty에서는 DATA_MODEL 권한을 가진 워크스페이스 관리자가 PATCH /rest/metadata/fields/:id 또는 updateOneField GraphQL mutation을 통해 시스템 TS_VECTOR 필드 searchVector에 대한 settings.asExpression 값을 제공할 수 있었습니다. 이로 인해 packages/twenty-server/src/engine/twenty-orm/workspace-schema-manager/utils/build-sql-column-definition.util.ts 내의 buildSqlColumnDefinition 함수가 비인코딩된 입력값을 GENERATED ALWAYS AS (...) 구문에 연결하여 애플리케이션 데이터베이스 사용자로 임의의 PostgreSQL 문을 실행할 수 있었습니다. 이 문제는 버전 2.15.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.