CVSS: 9.8EPSS: 0%CPEs: 5EXPL: 1CVE-2017-10804
https://notcve.org/view.php?id=CVE-2017-10804
In Odoo 8.0, Odoo Community Edition 9.0 and 10.0, and Odoo Enterprise Edition 9.0 and 10.0, remote attackers can bypass authentication under certain circumstances because parameters containing 0x00 characters are truncated before reaching the database layer. This occurs because Psycopg 2.x before 2.6.3 is used. En Odoo versión 8.0, Odoo Community Edition versiones 9.0 y 10.0, y Odoo Community Edition versiones 9.0 y 10.0, los atacantes remotos pueden omitir la identificación bajo ciertas circunstancias porque los parámetros que contienen caracteres 0x00 están truncados antes de alcanzar la capa de base de datos. Esto ocurre porque es usado Psycopg versión 2.x anterior a 2.6.3. • http://initd.org/psycopg/docs/news.html#what-s-new-in-psycopg-2-6-3 https://github.com/odoo/odoo/issues/17914 https://github.com/psycopg/psycopg2/issues/420 • CWE-306: Missing Authentication for Critical Function •
CVSS: 6.5EPSS: 1%CPEs: 3EXPL: 0CVE-2017-9416
https://notcve.org/view.php?id=CVE-2017-9416
Directory traversal vulnerability in tools.file_open in Odoo 8.0, 9.0, and 10.0 allows remote authenticated users to read arbitrary local files readable by the Odoo service. Una vulnerabilidad de salto de directorio en tools.file_open en Odoo versiones 8.0, 9.0 y 10.0, permite a los usuarios autenticados remotos leer archivos locales arbitrarios legibles por el servicio de Odoo. • https://github.com/odoo/odoo/issues/17394 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •