CVE-2026-82274

Twenty to platforma CRM o otwartym kodzie źródłowym. Od wersji 1.20.10 do 2.7.0 zapytanie GraphQL /metadata connectedAccounts zwracało connectionParameters z ConnectedAccountDTO dla każdego konta w przestrzeni roboczej, w tym hasła IMAP, SMTP i CalDAV w postaci jawnego tekstu, ponieważ pole nie było ukryte, a wyszukiwanie nie wymuszało tożsamości ani widoczności konta. Zwykły członek przestrzeni roboczej mógł uzyskać poświadczenia usług zewnętrznych innych członków i wykorzystać je do dostępu do poczty lub kalendarzy oraz potencjalnie zresetować konta osób trzecich. Przestrzenie robocze korzystające wyłącznie z OAuth Google i Microsoft nie były dotknięte. Problem naprawiono w wersji 2.7.0.

Twenty przed wersją 2.15.0 pozwala administratorowi z uprawnieniem DATA_MODEL na dostarczenie niesprawdzonego wyrażenia dla pola TS_VECTOR, co prowadzi do wstrzyknięcia SQL i wykonania dowolnych zapytań PostgreSQL jako użytkownik aplikacji.

Twenty to otwarta platforma CRM. Przed wersją 2.22.0 uprawnienia do odczytu na poziomie pola są egzekwowane dla wybranych pól wyjściowych, ale nie dla predykatów filtrów GraphQL lub REST. Członek przestrzeni roboczej lub klucz API z uprawnieniem do odczytu obiektu, ale bez dostępu do konkretnego pola, może odwołać się do tego pola w filtrach bezpośrednich, relacyjnych lub zapisanych, a wynikowe totalCount i obecność wierszy ujawniają, czy zgadywane wartości pasują do rzeczywistej kolumny, tworząc wyrocznię boolean/count.

Twenty w wersjach przed 2.35.0 nie waliduje uprawnień do pól i wierszy w resolverze GraphQL groupBy-with-records, co pozwala uwierzytelnionym użytkownikom obejść kontrole uprawnień. Atakujący z uprawnieniem canReadObjectRecords, ale bez canReadFieldValue, może odczytać zastrzeżone wartości pól przez resolver groupBy, które normalnie byłyby zablokowane.

Twenty (CRM open source) w wersjach 1.18.0 i wcześniejszych ma podatność SSRF, w której ochrona w SecureHttpClientService może być ominięta przez użycie adresów IPv4 zamapowanych na IPv6 w literałach IP URL. Node.js normalizuje takie adresy do skompresowanej postaci szesnastkowej, ale funkcja isPrivateIp rozpoznaje tylko notację dziesiętną z kropkami.