CVE-2026-105763
Açıklama
Twenty, açık kaynaklı bir CRM (müşteri ilişkileri yönetimi) platformudur. 1.20.10 ile 2.7.0 sürümleri arasında, alan gizlenmediği ve sorgulamanın çağıran kullanıcının kimliğini veya hesap görünürlüğünü zorunlu kılmadığı için /metadata GraphQL connectedAccounts sorgusu; düz metin IMAP, SMTP ve CalDAV parolaları da dahil olmak üzere bir çalışma alanındaki her bağlı hesap için ConnectedAccountDTO üzerinden connectionParameters döndürüyordu. Normal bir çalışma alanı üyesi, diğer üyelerin harici servis kimlik bilgilerini elde edebilir ve bunları e-postalara veya takvimlere erişmek ve potansiyel olarak üçüncü taraf hesapları sıfırlamak için kullanabilirdi. Yalnızca Google ve Microsoft OAuth kullanan çalışma alanları etkilenmemiştir. Bu sorun 2.7.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| twentyhq twenty | >= 1.20.10, < 2.7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.