Twenty CRM: Klartext-Offenlegung von Mail- und Kalenderpasswörtern für Workspace-Mitglieder
Zusammenfassung
Twenty, eine Open-Source-CRM-Plattform, gab über die GraphQL-Abfrage connectedAccounts am Endpunkt /metadata Verbindungsparameter aus, einschliesslich Klartext-Passwörtern für IMAP, SMTP und CalDAV, für jedes verbundene Konto eines Workspaces. Jedes authentifizierte Workspace-Mitglied konnte so die Zugangsdaten anderer Mitglieder auslesen und für den Zugriff auf Mail oder Kalender sowie potenziell zum Zurücksetzen von Drittanbieter-Konten verwenden. Workspaces, die nur Google- oder Microsoft-OAuth nutzen, waren nicht betroffen.
Betroffen
- Twenty ab 1.20.10 bis vor 2.7.0
- Nur Workspaces, die IMAP-, SMTP- oder CalDAV-Passwörter speichern, sind betroffen
- Workspaces, die nur Google- oder Microsoft-OAuth nutzen, sind nicht betroffen
Behoben in
- Behoben in Twenty 2.7.0
- Das Release 2.7.0 enthält eine Breaking Change: Verbindungsparameter werden nun verschlüsselt und erfordern einen konfigurierten ENCRYPTION_KEY
Umgehung
- Der Hersteller dokumentiert keinen Workaround; das Upgrade auf 2.7.0 ist die Behebung
- Die Einschränkung des Netzwerkzugriffs auf vertrauenswürdige IP-Bereiche reduziert die Exposition, ist aber keine Behebung
Ausnutzung
- Automatisierbar: nein (CISA SSVC)
- Ausnutzung: keine bekannt; kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV gefunden
- Unbekannt, ob bereits Ausnutzung stattgefunden hat
Unsere Empfehlung
- Alle Twenty-Instanzen auf 2.7.0 oder neuer aktualisieren; ein Wartungsfenster planen und vorher die Datenbank sichern, da das Release eine Migration enthält
- Alle in Twenty gespeicherten IMAP-, SMTP- und CalDAV-Passwörter beim Mail-Anbieter zurücksetzen und anwendungsspezifische Passwörter widerrufen
- Benutzerkonten prüfen, ehemalige Mitarbeitende oder Vertragspartner entfernen und Logs auf ungewöhnliche Zugriffe auf verbundene Konten kontrollieren
- Den Netzwerkzugriff auf die Instanz nach Möglichkeit einschränken
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-mq5c-qp77-2cv3 github.com
- Fix commit 57f13c9 github.com
- Fix pull request #20673 github.com
- OSV CVE-2026-105763 osv.dev
- CNA range data (threatint) cve.threatint.com
- Release v2.7.0 (newreleases mirror) newreleases.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.