CVE-2026-85055 in Twenty
요약
\~에 의해 VulDB • 2026. 09. 22.
Twenty는 오픈소스 CRM(고객 관계 관리) 플랫폼입니다. 버전 2.22.0 이전에는 필드 수준의 읽기 권한이 선택된 출력 필드에 대해서는 적용되지만 GraphQL 또는 REST 필터 술어에는 적용되지 않습니다. 특정 객체는 읽을 수 있지만 개별 필드는 읽을 수 없는 권한을 가진 워크스페이스 구성원이나 API 키는 직접 필터, 관계 필터 또는 지속적 뷰 필터에서 해당 차단된 필드를 참조할 수 있습니다. 이로 인해 생성되는 totalCount 및 행 존재 여부는 추측이 실제 열과 일치하는지 여부를 드러내며, 이를 통해 주체의 행 수준 정책으로 노출된 레코드에 대한 거부된 필드 값을 복원할 수 있는 boolean/count 오라클을 형성합니다. 이 문제는 버전 2.22.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.