CVE-2026-73069
Açıklama
Twenty, açık kaynaklı bir CRM (müşteri ilişkileri yönetimi) platformudur. 2.15.0 sürümünden önce Twenty, DATA_MODEL iznine sahip bir çalışma alanı yöneticisinin, PATCH /rest/metadata/fields/:id veya updateOneField GraphQL mutasyonu aracılığıyla sistem TS_VECTOR field searchVector için settings.asExpression sağlamasına izin veriyordu; bu durum, packages/twenty-server/src/engine/twenty-orm/workspace-schema-manager/utils/build-sql-column-definition.util.ts içerisindeki buildSqlColumnDefinition fonksiyonunun kaçış karakterleri uygulanmamış girdiyi GENERATED ALWAYS AS (...) ifadesine eklemesine ve uygulama veritabanı kullanıcısı olarak rastgele PostgreSQL ifadeleri yürütülmesine neden oluyordu. Bu sorun 2.15.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| twentyhq twenty | < 2.15.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.