CVE-2026-105763
Təsvir
Twenty açıq mənbəli CRM (müştəri münasibətlərinin idarə edilməsi) platformasıdır. 1.20.10 versiyasından 2.7.0 versiyasına qədər /metadata GraphQL connectedAccounts sorğusu iş sahəsindəki hər bir qoşulmuş hesab üçün ConnectedAccountDTO-dan connectionParameters məlumatlarını qaytarırdı; bura şifrələnməmiş IMAP, SMTP və CalDAV şifrələri də daxil idi, çünki həmin sahə gizlədilməmişdi və axtarış prosesi çağırıcı istifadəçinin kimliyini və ya hesabın görünürlüyünü yoxlamırdı. Adi iş sahəsi üzvü digər üzvlərin xarici servis etibarnamələrini əldə edə bilər və onlardan poçt və ya təqvimlərə giriş üçün, həmçinin potensial olaraq üçüncü tərəf hesablarını sıfırlamaq üçün istifadə edə bilərdi. Yalnız Google və Microsoft OAuth istifadə edən iş sahələri bundan təsirlənməyib. Bu problem 2.7.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| twentyhq twenty | >= 1.20.10, < 2.7.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.