CVE-2026-25137

NixOs Odoo paketi açıq mənbəli ERP və CRM sistemidir. 21.11 versiyasından 25.11 və 26.05 versiyalarından əvvəlki dövrədək, hər bir NixOS əsaslı Odoo quraşdırmasında verilənlər bazası meneceri heç bir autentifikasiya olmadan herkese açıq şəkildə təqdim olunur. Bu, səlahiyyətsiz şəxslərə Odoonun fayl anbarı da daxil olmaqla bütün verilənlər bazasını silməyə və yükləməyə imkan verir. Səlahiyyətsiz giriş HTTP sorğularından aşkar edilir. Əgər saxlanılıbsa, giriş loqlarının və ya Odoonun loqlarının /web/database ünvanına olan sorğular üzrə araşdırılması bu boşluğun aktiv istismar edilib-edilmədiyini göstərən indikatorlar verə bilər. Verilənlər bazası meneceri proqramlaşdırma üçün nəzərdə tutulmuş bir funksiyadır və herkese açıq olması planlaşdırılmamışdır. Digər quraşdırmalarda master parol ikinci müdafiə xətti rolunu oynayır. Lakin NixOS-un xüsusiyyətləri səbəbindən Odoo öz konfiqurasiya faylını dəyişdirə bilmir və buna görə də avtomatik yaradılmış parolu saxlaya bilmir. Bu, veb interfeysdə manual olaraq master parol təyin edildikdə də tətbiq olunur. Bu o deməkdir ki, Odoo yenidən başladıldıqda parol itirilir. Parol təyin edilmədikdə, istifadəçidən birbaşa verilənlər bazası meneceri vasitəsilə parol təyin etməsi istənilir. Bunun üçün heç bir səlahiyyətli istifadəçi və ya sistem administratoru tərəfindən autentifikasiya və ya hər hansı bir tindakan tələb olunmur. Beləliklə, Odoo-ya daxil ola bilən hər kəs üçün verilənlər bazası faktiki olaraq oxunaqlıdır. Bu zəiflik 25.11 və 26.05 versiyalarında aradan qaldırılmışdır.