The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dsa-5399 advisory.

  - A sandboxing issue in Odoo Community 15.0 and earlier and Odoo Enterprise 15.0 and earlier allows     authenticated administrators to read and write local files on the server. (CVE-2021-23166)

  - Improper access control in reporting engine of l10n_fr_fec module in Odoo Community 15.0 and earlier and     Odoo Enterprise 15.0 and earlier allows remote authenticated users to extract accounting information via     crafted RPC packets. (CVE-2021-23176)

  - Improper access control in Odoo Community 15.0 and earlier and Odoo Enterprise 15.0 and earlier allows     attackers to validate online payments with a tokenized payment method that belongs to another user,     causing the victim's payment method to be charged instead. (CVE-2021-23178)

  - A sandboxing issue in Odoo Community 15.0 and earlier and Odoo Enterprise 15.0 and earlier allows     authenticated administrators to access and modify database contents of other tenants, in a multi-tenant     system. (CVE-2021-23186)

  - Improper access control in reporting engine of Odoo Community 14.0 through 15.0, and Odoo Enterprise 14.0     through 15.0, allows remote attackers to download PDF reports for arbitrary documents, via crafted     requests. (CVE-2021-23203)

  - Cross-site scripting (XSS) issue in Discuss app of Odoo Community 14.0 through 15.0, and Odoo Enterprise     14.0 through 15.0, allows remote attackers to inject arbitrary web script in the browser of a victim, by     posting crafted contents. (CVE-2021-26263)

  - Cross-site scripting (XSS) issue Odoo Community 15.0 and earlier and Odoo Enterprise 15.0 and earlier,     allows remote attackers to inject arbitrary web script in the browser of a victim, via a crafted link.
    (CVE-2021-26947)

  - A sandboxing issue in Odoo Community 15.0 and earlier and Odoo Enterprise 15.0 and earlier allows     authenticated administrators to read local files on the server, including sensitive configuration files.
    (CVE-2021-44476)

  - Cross-site scripting (XSS) issue in Website app of Odoo Community 15.0 and earlier and Odoo Enterprise     15.0 and earlier, allows remote attackers to inject arbitrary web script in the browser of a victim, by     posting crafted contents. (CVE-2021-44775)

  - Cross-site scripting (XSS) issue Odoo Community 15.0 and earlier and Odoo Enterprise 15.0 and earlier,     allows remote attackers to inject arbitrary web script in the browser of a victim, via crafted uploaded     file names. (CVE-2021-45071)

  - Improper access control in Odoo Community 15.0 and earlier and Odoo Enterprise 15.0 and earlier allows     remote authenticated users to trigger the creation of demonstration data, including user accounts with     known credentials. (CVE-2021-45111)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Debian 11 ホストには、dsa-5399 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のサンドボックス問題により、認証された管理者がサーバー上のローカルファイルを読み書きする可能性があります。(CVE-2021-23166)

  - Odoo Community 15.0 以前および Odoo Enterprise 15.0 以前の l10n_fr_fec モジュールのレポートエンジンにおける不適切なアクセスコントロールにより、リモートの認証されたユーザーが、細工された RPC パケットを介して、アカウンティング情報を抽出する可能性があります。(CVE-2021-23176)

  - Odoo Community 15.0 以前および Odoo Enterprise 15.0 以前の不適切なアクセスコントロールにより、攻撃者が別のユーザーに属するトークン化された支払い方法でオンライン決済を検証し、代わりに被害者の支払い方法で請求が行われる可能性があります。(CVE-2021-23178)

  - Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のマルチテナントシステムにおいて、サンドボックスの問題があるため、認証された管理者が他のテナントのデータベースコンテンツにアクセスして変更することが可能です。(CVE-2021-23186)

  - Odoo Community 14.0 から 15.0 までのレポートエンジン、および Odoo Enterprise 14.0 から 15.0 までのレポートエンジンの不適切なアクセスコントロールにより、リモートの攻撃者が、細工されたリクエストを介して、任意のドキュメントの PDF レポートをダウンロードする可能性があります。(CVE-2021-23203)

  - Odoo Community 14.0 から 15.0 まで、および Odoo Enterprise 14.0 から 15.0 までの Discuss アプリのクロスサイトスクリプティング (XSS) の問題により、リモートの攻撃者が、細工されたコンテンツを投稿することで、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。(CVE-2021-26263)

  - Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のクロスサイトスクリプティング (XSS) の問題により、リモートの攻撃者が、細工されたリンクを介して、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。
    (CVE-2021-26947)

  - Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のサンドボックス問題により、認証された管理者が機密の設定ファイルを含むサーバー上のローカルファイルを読み取る可能性があります。
    (CVE-2021-44476)

  - Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前の Web サイトアプリにクロスサイトスクリプティング (XSS) の問題があるため、リモートの攻撃者は細工されたコンテンツを投稿することで、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。(CVE-2021-44775)

  - Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前のクロスサイトスクリプティング (XSS) の問題により、リモートの攻撃者が細工されたアップロードファイル名を介して、被害者のブラウザーに任意の Web スクリプトを挿入する可能性があります。(CVE-2021-45071)

  - Odoo Community 15.0 以前、および Odoo Enterprise 15.0 以前の不適切なアクセスコントロールにより、リモートの認証されたユーザーが、既知の認証情報を持つユーザーアカウントを含む、デモンストレーションデータの作成を誘発させる可能性があります。(CVE-2021-45111)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Debian 11 主机上安装的一个程序包受到 dsa-5399 公告中提及的多个漏洞影响。

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在一个沙盒问题，允许经身份验证的管理员在服务器上读取和写入本地文件。 (CVE-2021-23166)

  - 在 Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中，l10n_fr_fec 模块的报告引擎中存在不当访问控制，这允许经认证的远程用户通过构建的 RPC 数据包提取帐户信息。 (CVE-2021-23176)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在不当访问控制，允许攻击者使用属于其他用户的标记化支付方式验证在线支付，从而导致通过受害者的支付方式向他们收取费用。 (CVE-2021-23178)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在沙盒问题，允许经身份验证的管理员在多租户系统中访问和修改其他租户的数据库内容。 (CVE-2021-23186)

  - Odoo Community 14.0 至 15.0 以及 Odoo Enterprise 14.0 至 15.0 的报告引擎中存在不当访问控制，允许远程攻击者通过构建的请求下载任意文档的 PDF 报告。 (CVE-2021-23203)

  - Odoo Community 14.0 至 15.0 以及 Odoo Enterprise 14.0 至 15.0 的 Discuss 应用程序中存在跨站脚本 (XSS) 问题，允许远程攻击者通过发布构建的内容在受害者的浏览器中注入任意 Web 脚本。 (CVE-2021-26263)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在跨站脚本 (XSS) 问题，允许远程攻击者通过构建的链接在受害者的浏览器中注入任意 Web 脚本。 
    (CVE-2021-26947)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在一个沙盒问题，允许经身份验证的管理员在服务器上读取本地文件（包括敏感配置文件）。 
    (CVE-2021-44476)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本的 Website 应用程序中存在跨站脚本 (XSS) 问题，允许远程攻击者通过发布构建的内容在受害者的浏览器中注入任意 Web 脚本。 (CVE-2021-44775)

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在跨站脚本 (XSS) 问题，允许远程攻击者通过构建的上传文件名在受害者的浏览器中注入任意 Web 脚本。(CVE-2021-45071) 

  - Odoo Community 15.0 及更早版本和 Odoo Enterprise 15.0 及更早版本中存在不当访问控制，允许经认证的远程用户触发演示数据的创建（包括具有已知凭据的用户帐户）。 (CVE-2021-45111)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 11 主機上安裝的套件受到 dsa-5399 公告中提及的多個弱點影響。

  - Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本中存在沙箱問題，經驗證的管理員可以藉此在伺服器上讀取和寫入本機檔案。(CVE-2021-23166)

  - 在 Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本中，l10n_fr_fec 模組的報告引擎中存在存取控制不當問題，遠端經過驗證的使用者可以藉此透過特製的 RPC 封包擷取帳戶資訊。(CVE-2021-23176)

  - Odoo Community 15.0 及更舊版本以及 Odoo Enterprise 15.0 及更舊版本中存在存取控制不當問題，此問題允許攻擊者使用屬於其他使用者的權杖化支付方式驗證線上支付，進而導致系統向受害者的支付方式收費。(CVE-2021-23178)

  - Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本中存在沙箱問題，經驗證的管理員可以藉此在多租戶系統中存取和修改其他租戶的資料庫內容。(CVE-2021-23186)

  - Odoo Community 14.0 至 15.0 版和 Odoo Enterprise 14.0 至 15.0 版的報告引擎中存在不當存取控制，遠端攻擊者可藉此透過特製的要求下載任意文件的 PDF 報告。(CVE-2021-23203)

  - Odoo Community 14.0 至 15.0 版和 Odoo Enterprise 14.0 至 15.0 版的 Discuss 應用程式中存在跨網站指令碼 (XSS) 問題，遠端攻擊者可藉此透過張貼特製的內容，在受害者的瀏覽器中插入任意 Web 指令碼。(CVE-2021-26263)

  - Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本中存在跨網站指令碼 (XSS) 問題，遠端攻擊者可藉此透過特製的連結，在受害者的瀏覽器中插入任意 Web 指令碼。
    (CVE-2021-26947)

  - Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本中存在沙箱問題，經驗證的管理員可以藉此在伺服器上讀取本機檔案，包括敏感的組態檔。
    (CVE-2021-44476)

  - Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本的 Website 應用程式中存在跨網站指令碼 (XSS) 問題，遠端攻擊者可藉此透過張貼特製的內容，在受害者的瀏覽器中插入任意 Web 指令碼。(CVE-2021-44775)

  - Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本中存在跨網站指令碼 (XSS) 問題，遠端攻擊者可藉此透過特製的上傳檔案名稱，在受害者的瀏覽器中插入任意 Web 指令碼。(CVE-2021-45071)

  - Odoo Community 15.0 和更舊版本以及 Odoo Enterprise 15.0 和更舊版本中存在存取控制不當問題，此問題允許經驗證的遠端使用者使用已知憑證觸發示範資料的建立，包括使用者帳戶。(CVE-2021-45111)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
175152	Debian DSA-5399-1 : odoo - security update	Nessus	Debian Local Security Checks	5/5/2023	5/5/2023	high
175152	Debian DSA-5399-1: odoo - セキュリティの更新	Nessus	Debian Local Security Checks	5/5/2023	5/5/2023	high
175152	Debian DSA-5399-1：odoo - 安全更新	Nessus	Debian Local Security Checks	5/5/2023	5/5/2023	high
175152	Debian DSA-5399-1：odoo - 安全性更新	Nessus	Debian Local Security Checks	5/5/2023	5/5/2023	high

Detections

Analytics

Plugins Search

high

high

high

high