結論
Twenty CRMにおけるリモートコード実行（RCE）脆弱性が発見されました。この脆弱性は、バージョン1.7.7から1.16.7までのTwenty CRMを使用しているシステムに影響を与え、悪用されると任意のOSコマンドが実行される可能性があります。利用者は、直ちに影響を受けるバージョンを確認し、対策を講じる必要があります。
この記事の要点
- Twenty CRMのバージョン1.7.7から1.16.7にリモートコード実行脆弱性が存在
- SQLインジェクションを介して悪用される可能性がある
- 認証されたユーザーが任意のOSコマンドを実行できる
- CVSSスコアは9.9で、重大な脆弱性
- 影響を受けるシステムは直ちに確認が必要
脆弱性の概要
Twenty CRMはオープンソースの顧客関係管理システムであり、バージョン1.7.7から1.16.7までの間に、連鎖SQLインジェクションとPostgreSQLのCOPY TO PROGRAM攻撃を介した重大なリモートコード実行（RCE）脆弱性が存在します。この脆弱性により、Postgresユーザーがスーパーユーザーである場合、認証された任意のユーザーがREST APIのgroupByエンドポイントにおける未検証のtimeZoneパラメータを介してSQLを注入し、データベースサーバー上で任意のOSコマンドを実行することが可能です。これは、group_byクエリパラメータ内のtimeZoneフィールドが、パラメータ化、検証、エスケープなしでJavaScriptのテンプレートリテラルを使用して生のSQL式に直接補間されることによって引き起こされます。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-46624 |
| 公開日 | 2026-05-26T18:16:52.400000Z |
| 対象システム | Twenty CRM バージョン1.7.7から1.16.7 |
| 脆弱性の種類 | リモートコード実行（RCE） |
| CVSSスコア | 9.9 |
| 攻撃条件 | 認証が必要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 影響を受けるTwenty CRMのバージョンを確認する
- 直ちにシステムのアップデートを検討する
- セキュリティパッチが提供されるまでの間、アクセス制限を強化する
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-46624
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-46624
- security-advisories@github.com：https://github.com/twentyhq/twenty/security/advisories/GHSA-jgx4-6mr9-9573
対象システムと影響範囲
Twenty CRMのバージョン1.7.7から1.16.7を使用しているシステムが影響を受けます。これにより、認証されたユーザーが任意のOSコマンドを実行できるリスクがあります。
被害内容
この脆弱性が悪用されると、攻撃者はデータベースサーバー上で任意のOSコマンドを実行でき、システムの完全な制御を奪われる可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
ベンダーからの公式なセキュリティパッチが提供されるまで、影響を受けるバージョンの使用を中止し、システムのアップデートを行うことが推奨されます。
FAQ
Q1. どの製品が影響を受けますか？
Twenty CRMのバージョン1.7.7から1.16.7が影響を受けます。
Q2. まず何をすればよいですか？
影響を受けるバージョンを確認し、システムのアップデートを検討してください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント