CVE-2026-26720

总结

Twenty CRM v1.15.0及之前版本中存在一个问题，允许远程攻击者通过local.driver.ts模块执行任意代码。

• CVE-2026-26720-Twenty-RCEPoC

  概念验证：通过未沙箱化的无服务器工作流函数，在 Twenty CRM 中实现认证远程代码执行，允许任意 Node.js 命令执行及环境变量泄露。