CVE-2026-73069 in Twenty
Sumário
de VulDB • 11/08/2026
Twenty é uma plataforma de CRM (gestão do relacionamento com o cliente) de código aberto. Antes da versão 2.15.0, o Twenty permitia que um administrador de espaço de trabalho com a permissão DATA_MODEL fornecesse settings.asExpression para o campo searchVector TS_VECTOR do sistema por meio de PATCH /rest/metadata/fields/:id ou da mutação GraphQL updateOneField, fazendo com que buildSqlColumnDefinition em packages/twenty-server/src/engine/twenty-orm/workspace-schema-manager/utils/build-sql-column-definition.util.ts concatenasse entrada não escapada dentro de GENERATED ALWAYS AS (...) e executasse instruções PostgreSQL arbitrárias como o usuário do banco de dados da aplicação. Este problema foi corrigido na versão 2.15.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.