远程 Debian 11 主机上安装的一个程序包受到 dsa-5399 公告中提及的多个漏洞影响。

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在一个沙盒问题，允许经身份验证的管理员在服务器上读取和写入本地文件。 (CVE-2021-23166)

  - 在 Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中，l10n_fr_fec 模块的报告引擎中存在不当访问控制，这允许经认证的远程用户通过构建的 RPC 数据包提取帐户信息。 (CVE-2021-23176)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在不当访问控制，允许攻击者使用属于其他用户的标记化支付方式验证在线支付，从而导致通过受害者的支付方式向他们收取费用。 (CVE-2021-23178)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在沙盒问题，允许经身份验证的管理员在多租户系统中访问和修改其他租户的数据库内容。 (CVE-2021-23186)

  - Odoo Community 14.0 至 15.0 以及 Odoo Enterprise 14.0 至 15.0 的报告引擎中存在不当访问控制，允许远程攻击者通过构建的请求下载任意文档的 PDF 报告。 (CVE-2021-23203)

  - Odoo Community 14.0 至 15.0 以及 Odoo Enterprise 14.0 至 15.0 的 Discuss 应用程序中存在跨站脚本 (XSS) 问题，允许远程攻击者通过发布构建的内容在受害者的浏览器中注入任意 Web 脚本。 (CVE-2021-26263)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在跨站脚本 (XSS) 问题，允许远程攻击者通过构建的链接在受害者的浏览器中注入任意 Web 脚本。 
    (CVE-2021-26947)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在一个沙盒问题，允许经身份验证的管理员在服务器上读取本地文件（包括敏感配置文件）。 
    (CVE-2021-44476)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本的 Website 应用程序中存在跨站脚本 (XSS) 问题，允许远程攻击者通过发布构建的内容在受害者的浏览器中注入任意 Web 脚本。 (CVE-2021-44775)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在跨站脚本 (XSS) 问题，允许远程攻击者通过构建的上传文件名在受害者的浏览器中注入任意 Web 脚本。(CVE-2021-45071) 

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在不当访问控制，允许经认证的远程用户触发演示数据的创建（包括具有已知凭据的用户帐户）。 (CVE-2021-45111)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DSA-5399-1：odoo - 安全更新

high Nessus 插件 ID 175152

版本 1.0