CVE-2026-35451
Açıklama
Twenty açık kaynaklı bir CRM'dir. 1.20.6 sürümünden önce, BlockNote editör bileşeninde Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyeti bulunmaktadır. FileBlock bileşenindeki protokol doğrulamasının eksikliği ve blok içeriğinin sunucu tarafındaki denetiminin yetersiz olması nedeniyle, bir saldırgan bir dosya bloğunun url özelliğine javascript: URI enjekte edebilir. Bu durum, bir kullanıcı kötü amaçlı dosya ekine tıkladığında rastgele JavaScript kodlarının çalıştırılmasına olanak tanır. Bu zafiyet 1.20.6 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| twentyhq twenty | < 1.20.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.