CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2018-15631
https://notcve.org/view.php?id=CVE-2018-15631
Improper access control in the Discuss App of Odoo Community 12.0 and earlier, and Odoo Enterprise 12.0 and earlier allows remote authenticated attackers to e-mail themselves arbitrary files from the database, via a crafted RPC request. El control de acceso inadecuado en la aplicación de discusión de Odoo Community 12.0 y anterior, y Odoo Enterprise 12.0 y anterior permite a los atacantes identificados remotos enviarse por correo electrónico archivos arbitrarios de la base de datos, a través de una petición RPC diseñada. • https://github.com/odoo/odoo/issues/32516 https://www.excellium-services.com/cert-xlm-advisory/cve-2018-15631 • CWE-284: Improper Access Control •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2018-15635
https://notcve.org/view.php?id=CVE-2018-15635
Cross-site scripting vulnerability in the Discuss App of Odoo Community 12.0 and earlier, and Odoo Enterprise 12.0 and earlier allows remote attackers to inject arbitrary web script in the browser of an internal user of the system by tricking them into inviting a follower on a document with a crafted name. La vulnerabilidad de tipo Cross-site scripting en la aplicación Discuss de Odoo Community versión 12.0 y anteriores, y Odoo Enterprise versión 12.0 y anteriores, permite a los atacantes remotos inyectar un script web arbitrario en el navegador de un usuario interno del sistema engañándolos para que inviten a un seguidor de un documento con un nombre creado. • https://github.com/odoo/odoo/issues/32515 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 5EXPL: 0CVE-2017-10805
https://notcve.org/view.php?id=CVE-2017-10805
In Odoo 8.0, Odoo Community Edition 9.0 and 10.0, and Odoo Enterprise Edition 9.0 and 10.0, incorrect access control on OAuth tokens in the OAuth module allows remote authenticated users to hijack OAuth sessions of other users. En Odoo versión 8.0, Odoo Community Edition versiones 9.0 y 10.0, y Odoo Enterprise Edition versiones 9.0 y 10.0, un control de acceso incorrecto en los tokens OAuth en el módulo OAuth permite a los usuarios identificados secuestrar las sesiones OAuth de otros usuarios. • https://github.com/odoo/odoo/issues/17921 • CWE-863: Incorrect Authorization •
CVSS: 8.5EPSS: 0%CPEs: 5EXPL: 1CVE-2017-10803 – Odoo CRM 10.0 - Code Execution
https://notcve.org/view.php?id=CVE-2017-10803
In Odoo 8.0, Odoo Community Edition 9.0 and 10.0, and Odoo Enterprise Edition 9.0 and 10.0, insecure handling of anonymization data in the Database Anonymization module allows remote authenticated privileged users to execute arbitrary Python code, because unpickle is used. En Odoo versión 8.0, Odoo Community Edition versiones 9.0 y 10.0, y Odoo Enterprise Edition versiones 9.0 y 10.0, el manejo no seguro de datos de anonimización en el módulo de Anonimización de Base de Datos permite que los usuarios privilegiados identificados remotos ejecuiten código Python arbitrario, porque es utilizado unpickle. • https://www.exploit-db.com/exploits/44064 https://github.com/odoo/odoo/issues/17898 • CWE-502: Deserialization of Untrusted Data •
CVSS: 9.8EPSS: 0%CPEs: 5EXPL: 1CVE-2017-10804
https://notcve.org/view.php?id=CVE-2017-10804
In Odoo 8.0, Odoo Community Edition 9.0 and 10.0, and Odoo Enterprise Edition 9.0 and 10.0, remote attackers can bypass authentication under certain circumstances because parameters containing 0x00 characters are truncated before reaching the database layer. This occurs because Psycopg 2.x before 2.6.3 is used. En Odoo versión 8.0, Odoo Community Edition versiones 9.0 y 10.0, y Odoo Community Edition versiones 9.0 y 10.0, los atacantes remotos pueden omitir la identificación bajo ciertas circunstancias porque los parámetros que contienen caracteres 0x00 están truncados antes de alcanzar la capa de base de datos. Esto ocurre porque es usado Psycopg versión 2.x anterior a 2.6.3. • http://initd.org/psycopg/docs/news.html#what-s-new-in-psycopg-2-6-3 https://github.com/odoo/odoo/issues/17914 https://github.com/psycopg/psycopg2/issues/420 • CWE-306: Missing Authentication for Critical Function •