CVSS: 9.8EPSS: 1%CPEs: 4EXPL: 0CVE-2018-14885
https://notcve.org/view.php?id=CVE-2018-14885
Incorrect access control in the database manager component in Odoo Community 10.0 and 11.0 and Odoo Enterprise 10.0 and 11.0 allows a remote attacker to restore a database dump without knowing the super-admin password. An arbitrary password succeeds. Un control de acceso incorrecto en el componente Database Manager en Odoo Community versión 10.0 y versión 11.0 y Odoo Enterprise versión 10.0 y versión 11.0 permite que un atacante remoto recuperar una copia de la base de datos sin conocer la contraseña de super-administrador. Tiene éxito un contraseña arbitraria. • https://github.com/odoo/odoo/commits/master https://github.com/odoo/odoo/issues/32512 • CWE-284: Improper Access Control •
CVSS: 4.9EPSS: 0%CPEs: 6EXPL: 0CVE-2018-14886
https://notcve.org/view.php?id=CVE-2018-14886
The module-description renderer in Odoo Community 11.0 and earlier and Odoo Enterprise 11.0 and earlier does not disable RST's local file inclusion, which allows privileged authenticated users to read local files via a crafted module description. El procesador de descripción de módulos en Odoo Community versión 11.0 y versiones anteriores y Odoo Enterprise versión 11.0 y versiones anteriores no deshabilita la inclusión de archivos locales de RST, lo que permite a los usuarios autenticados privilegiados leer archivos locales a través de una descripción de módulo manipulada. • https://github.com/odoo/odoo/commits/master https://github.com/odoo/odoo/issues/32513 • CWE-732: Incorrect Permission Assignment for Critical Resource •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2018-14887
https://notcve.org/view.php?id=CVE-2018-14887
Improper Host header sanitization in the dbfilter routing component in Odoo Community 11.0 and earlier and Odoo Enterprise 11.0 and earlier allows a remote attacker to deny access to the service and to disclose database names via a crafted request. Un saneamiento inadecuado de la cabecera Host en el componente de enrutamiento dbfilter en Odoo Community versión 11.0 y versiones anteriores y Odoo Enterprise versión 11.0 y anteriores permite que los atacantes remotos denieguen el acceso al servicio y revelar los nombres de base de datos mediante una petición creada. • https://github.com/odoo/odoo/commits/master https://github.com/odoo/odoo/issues/32511 • CWE-20: Improper Input Validation •
CVSS: 9.0EPSS: 0%CPEs: 1EXPL: 0CVE-2018-15640
https://notcve.org/view.php?id=CVE-2018-15640
Improper access control in the Helpdesk App of Odoo Enterprise 10.0 through 12.0 allows remote authenticated attackers to obtain elevated privileges via a crafted request. El control de acceso inapropiado en la aplicación Helpdesk de Odoo Enterprise versión 10.0 hasta la 12.0, permite que los atacantes autenticados remotos puedan obtener privilegios elevados por medio de una petición creada. • https://github.com/odoo/odoo/issues/32514 • CWE-284: Improper Access Control CWE-863: Incorrect Authorization •
CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2018-15631
https://notcve.org/view.php?id=CVE-2018-15631
Improper access control in the Discuss App of Odoo Community 12.0 and earlier, and Odoo Enterprise 12.0 and earlier allows remote authenticated attackers to e-mail themselves arbitrary files from the database, via a crafted RPC request. El control de acceso inadecuado en la aplicación de discusión de Odoo Community 12.0 y anterior, y Odoo Enterprise 12.0 y anterior permite a los atacantes identificados remotos enviarse por correo electrónico archivos arbitrarios de la base de datos, a través de una petición RPC diseñada. • https://github.com/odoo/odoo/issues/32516 https://www.excellium-services.com/cert-xlm-advisory/cve-2018-15631 • CWE-284: Improper Access Control •