Debian DSA-5399-1: odoo - セキュリティの更新

high Nessus プラグイン ID 175152

Language:

概要

リモートの Debian ホストに 1 つまたは複数のセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 11 ホストには、dsa-5399 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のサンドボックス問題により、認証された管理者がサーバー上のローカルファイルを読み書きする可能性があります。(CVE-2021-23166)

- Odoo Community 15.0 以前および Odoo Enterprise 15.0 以前の l10n_fr_fec モジュールのレポートエンジンにおける不適切なアクセスコントロールにより、リモートの認証されたユーザーが、細工された RPC パケットを介して、アカウンティング情報を抽出する可能性があります。(CVE-2021-23176)

- Odoo Community 15.0 以前および Odoo Enterprise 15.0 以前の不適切なアクセスコントロールにより、攻撃者が別のユーザーに属するトークン化された支払い方法でオンライン決済を検証し、代わりに被害者の支払い方法で請求が行われる可能性があります。(CVE-2021-23178)

- Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のマルチテナントシステムにおいて、サンドボックスの問題があるため、認証された管理者が他のテナントのデータベースコンテンツにアクセスして変更することが可能です。(CVE-2021-23186)

- Odoo Community 14.0 から 15.0 までのレポートエンジン、および Odoo Enterprise 14.0 から 15.0 までのレポートエンジンの不適切なアクセスコントロールにより、リモートの攻撃者が、細工されたリクエストを介して、任意のドキュメントの PDF レポートをダウンロードする可能性があります。(CVE-2021-23203)

- Odoo Community 14.0 から 15.0 まで、および Odoo Enterprise 14.0 から 15.0 までの Discuss アプリのクロスサイトスクリプティング (XSS) の問題により、リモートの攻撃者が、細工されたコンテンツを投稿することで、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。(CVE-2021-26263)

- Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のクロスサイトスクリプティング (XSS) の問題により、リモートの攻撃者が、細工されたリンクを介して、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。
(CVE-2021-26947)

- Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のサンドボックス問題により、認証された管理者が機密の設定ファイルを含むサーバー上のローカルファイルを読み取る可能性があります。
(CVE-2021-44476)

- Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前の Web サイトアプリにクロスサイトスクリプティング (XSS) の問題があるため、リモートの攻撃者は細工されたコンテンツを投稿することで、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。(CVE-2021-44775)

- Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のクロスサイトスクリプティング (XSS) の問題により、リモートの攻撃者が細工されたアップロードファイル名を介して、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。(CVE-2021-45071)

- Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前の不適切なアクセスコントロールにより、リモートの認証されたユーザーが、既知の認証情報を持つユーザーアカウントを含む、デモンストレーションデータの作成を誘発させる可能性があります。(CVE-2021-45111)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。