| タイトル | Twenty.com PBCのTwentyにおける複数の脆弱性 |
|---|---|
| 概要 | TwentyはオープンソースのCRMです。バージョン1.7.7から1.16.7までの間に、Twenty CRMには連鎖的なSQLインジェクションとPostgreSQLのCOPY TO PROGRAM攻撃による重大なリモートコード実行（RCE）脆弱性が存在します。Postgresユーザーがスーパーユーザーである場合、認証された任意のユーザーがREST APIのgroupByエンドポイントでサニタイズされていないtimeZoneパラメータを通じてSQLを注入することにより、データベースサーバー上で任意のOSコマンドを実行できます。group_byクエリパラメータ内のtimeZoneフィールドはJavaScriptのテンプレートリテラルを用いて直接生のSQL式に組み込まれており、パラメータ化、検証、またはエスケープが一切行われていません。本脆弱性はengine/api/graphql/graphql-query-runner/group-by/resolvers/utils/get-group-by-expression.util.tsに影響を与えます。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月26日0:00 |
| 登録日 | 2026年5月29日11:16 |
| 最終更新日 | 2026年5月29日11:16 |
| CVSS3.0 : 緊急 | |
| スコア | 9.9 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| Twenty.com PBC |
| Twenty 1.7.7 以上 1.16.7 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月29日] 掲載 |
2026年5月29日11:16 |
| 概要 | Twenty is an open source CRM. From 1.7.7 through 1.16.7, a critical Remote Code Execution (RCE) vulnerability exists in Twenty CRM via a chained SQL Injection and PostgreSQL COPY TO PROGRAM attack. If Postgres user is a super user then any authenticated user can execute arbitrary OS commands on the database server by injecting SQL through the unsanitized timeZone parameter in the REST API groupBy endpoint. The timeZone field within the group_by query parameter is directly interpolated into a raw SQL expression using JavaScript template literals without any parameterization, validation, or escaping. This affects engine/api/graphql/graphql-query-runner/group-by/resolvers/utils/get-group-by-expression.util.ts. |
|---|---|
| 公表日 | 2026年5月27日3:16 |
| 登録日 | 2026年5月27日4:08 |
| 最終更新日 | 2026年5月27日23:45 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:twenty:twenty:*:*:*:*:*:*:*:* | 1.7.7 | 1.16.7 | |||