CVE-2026-105763

Nome do Software Vulnerável e Versões Afetadas Twenty versões 1.20.10 through 2.6.9

Description Um problema no endpoint GraphQL /metadata permite que a query connectedAccounts retorne connectionParameters do ConnectedAccountDTO para todas as contas conectadas em um workspace. Isso ocorre porque o campo não está oculto e o processo de busca não impõe a identidade do usuário solicitante ou a visibilidade da conta. Consequentemente, um membro comum do workspace pode obter senhas em texto simples de IMAP, SMTP e CalDAV de outros membros, permitindo potencialmente o acesso não autorizado a e-mails, calendários e a possibilidade de redefinir contas de terceiros. Workspaces que utilizam apenas OAuth do Google e Microsoft não são afetados.

Recommendations Atualizar para a versão 2.7.0.