CVE-2026-25137 in nixpkgs
요약
\~에 의해 VulDB • 2026. 07. 17.
NixOS의 Odoo 패키지는 오픈 소스 ERP 및 CRM 시스템입니다. 버전 21.11부터 25.11 이전, 그리고 26.05까지 모든 NixOS 기반 Odoo 설정은 인증 없이 데이터베이스 관리자를 공개적으로 노출합니다. 이로 인해 무단 행위자가 Odoos 파일 저장소를 포함한 전체 데이터베이스를 삭제하고 다운로드할 수 있습니다. 이러한 무단 접근은 HTTP 요청을 통해 확인할 수 있으며, 만약 공격이 활발히 이루어졌는지 여부를 파악하기 위해 액세스 로그 및/또는 Odoo의 로그에서 `/web/database`로의 요청을 검색하면 지표(indicators)가 될 수 있습니다. 데이터베이스 관리자는 개발용으로 의도된 기능이며 공개적으로 도달 가능하도록 설계되지 않았습니다. 다른 설정에서는 마스터 비밀번호가 2차 방어선 역할을 합니다. 그러나 NixOS의 특성상 Odoo는 자체 구성 파일을 수정할 수 없으며, 따라서 자동 생성된 비밀번호를 영구 저장하지 못합니다. 이는 웹 UI에서 마스터 비밀번호를 수동으로 설정하는 경우에도 동일하게 적용됩니다. 즉, Odoo를 재시작하면 비밀번호가 손실됩니다. 비밀번호가 설정되지 않은 경우 사용자는 데이터베이스 관리자를 통해 직접 비밀번호를 설정하라는 프롬프트를 받게 되며, 이 과정에는 인증된 사용자나 시스템 관리자任何形式的의 인증이나 조치가 필요하지 않습니다. 따라서 접근 가능한 모든 사람은 해당 데이터베이스에 효과적으로 읽기 권한을 갖게 됩니다. 이 취약점은 25.11 및 26.05에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.