CVE-2026-25137 in nixpkgs
Riassunto
di VulDB • 28/07/2026
Il pacchetto NixOS di Odoo è un sistema ERP e CRM open source. Dalla versione 21.11 fino alla versione precedente a 25.11, nonché nella versione 26.05, ogni configurazione basata su NixOS con Odoo espone pubblicamente il gestore del database senza alcuna autenticazione. Ciò consente ad attori non autorizzati di eliminare e scaricare l'intero database, inclusa la directory file store di Odoo. L'accesso non autorizzato è evidente dalle richieste HTTP. Se conservati, gli access log o i log di Odoo possono fornire indicatori della compromissione attiva cercando le richieste indirizzate a /web/database. Il gestore del database è una funzionalità destinata allo sviluppo e non dovrebbe essere raggiungibile pubblicamente. In altre configurazioni, una password master funge da seconda linea di difesa. Tuttavia, per la natura stessa di NixOS, Odoo non può modificare il proprio file di configurazione e pertanto non riesce a rendere persistente la password generata automaticamente. Questo vale anche quando si imposta manualmente una password master tramite l'interfaccia web (web-UI). Ciò significa che la password viene persa al riavvio di Odoo. Quando nessuna password è impostata, all'utente viene richiesto di impostarla direttamente tramite il gestore del database. Questa operazione non richiede alcuna autenticazione o azione da parte di utenti autorizzati o dell'amministratore di sistema. Di conseguenza, il database risulta effettivamente leggibile da chiunque sia in grado di raggiungere Odoo. Questa vulnerabilità è stata risolta nelle versioni 25.11 e 26.05.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.