CVE-2026-55583

Twenty açıq mənbəli CRM (müştəri münasibətlərinin idarə edilməsi) platformasıdır. 2.9.0 versiyasından əvvəl Twenty, AI agent monitorunun AgentTurnResolver komponentində, packages/twenty-server/src/engine/metadata-modules/ai/ai-agent-monitor/reso lvers/agent-turn.resolver.ts faylında iş sahələri arası təhlükəli birbaşa obyekt istinadı (IDOR) zəifliyinə malik idi. agentTurns(agentId) sorğusu və evaluateAgentTurn(turnId) mutasiyası sətirləri yalnız agentId və ya id üzrə axtarırdı; AgentTurnEntity-də workspaceId sütunu olsa da, o, WHERE bəndinə daxil edilməmişdi və sinif səviyyəsindəki qoruyucular yalnız çağıranın hər hansı bir iş sahəsində autentifikasiyadan keçdiyini yoxlayırdı, sorğulanan obyektin həmin iş sahəsinə aid olub-olmadığını yoxlamırdı; eyni qüsur agent-turn-grader.service.ts faylında da mövcud idi. Nəticədə, AI parametrləri bayrağına malik istənilən autentifikasiyadan keçmiş istifadəçi (defolt olaraq iş sahəsinin sahibi) qurbanın agentId və ya turnId dəyərini bildiyi halda həmin instansiyadakı istənilən digər iş sahəsini hədəf ala bilərdi: agentTurns qurbanın xam söhbət mətni, alət çağırışları və alət çıxışları kimi mesaj hissələri də daxil olmaqla tam söhbət tarixçəsini qaytarırdı, evaluateAgentTurn isə qurbanın workspaceId dəyəri ilə agentTurnEvaluation sətri əlavə edir və qurbanın növbəsini defolt LLM-ə ötürürdü. agentId və turnId təxmin edilə bilməyən UUID-lərdir, lakin parametrlər səhifəsinin URL-ində açıqlanır. Bu problem 2.9.0 versiyasında düzəldilmişdir.