CVE-2026-105763
Beschrijving NL
Twenty is een open source CRM (customer relationship management) platform. Van 1.20.10 tot 2.7.0 retourneerde de /metadata GraphQL connectedAccounts-query verbindingParameters van ConnectedAccountDTO voor elk verbonden account in een werkruimte, inclusief IMAP-, SMTP- en CalDAV-wachtwoorden in platte tekst, omdat het veld niet was verborgen en de zoekopdracht de identiteit of de zichtbaarheid van de aanroepende gebruiker niet afdwong. Een normaal werkruimtelid kan de externe servicegegevens van andere leden verkrijgen en deze gebruiken om toegang te krijgen tot e-mail of agenda's en mogelijk accounts van derden te resetten. Google en Microsoft OAuth-only werkruimten werden niet beïnvloed. Dit probleem is opgelost in versie 2.7.0.
Origineel (Engels) tonen
Twenty is an open-source CRM (customer relationship management) platform. From 1.20.10 until 2.7.0, the /metadata GraphQL connectedAccounts query returned connectionParameters from ConnectedAccountDTO for every connected account in a workspace, including plaintext IMAP, SMTP, and CalDAV passwords, because the field was not hidden and the lookup did not enforce the calling user's identity or account visibility. A normal workspace member could obtain other members' external-service credentials and use them to access mail or calendars and potentially reset third-party accounts. Google and Microsoft OAuth-only workspaces were not affected. This issue is fixed in version 2.7.0.