CVE-2026-25137

NixOs Odoo paketi, açık kaynaklı bir ERP ve CRM sistemidir. 21.11 sürümünden 25.11 ve 26.05 öncesine kadar olan tüm NixOS tabanlı Odoo kurulumları, veritabanı yöneticisini herhangi bir kimlik doğrulama olmaksızın herkese açık hale getirmektedir. Bu durum, yetkisiz aktörlerin Odoo dosya deposu da dahil olmak üzere tüm veritabanını silmesine ve indirmesine olanak tanır. Yetkisiz erişim, HTTP isteklerinden anlaşılabilmektedir. Eğer tutulmuşsa, erişim günlüklerinde ve/veya Odoo günlüklerinde /web/database adresine yapılan isteklerin aranması, bu açığın aktif olarak kullanılıp kullanılmadığına dair göstergeler sağlayabilir. Veritabanı yöneticisi geliştirme için tasarlanmış bir özelliktir ve kamuya açık şekilde erişilebilir olması amaçlanmamıştır. Diğer kurulumlarda, ana parola ikinci bir savunma hattı görevi görür. Ancak, NixOS'un doğası gereği Odoo kendi yapılandırma dosyasını değiştirememekte ve dolayısıyla otomatik oluşturulan parolayı kalıcı hale getirememektedir. Bu durum, web arayüzünde manuel olarak bir ana parola ayarlandığında da geçerlidir; yani Odoo yeniden başlatıldığında parola kaybolur. Herhangi bir parola ayarlanmadığında, kullanıcıdan doğrudan veritabanı yöneticisi aracılığıyla bir parola belirlemesi istenir. Bu işlem, yetkili herhangi bir kullanıcı veya sistem yöneticisinin kimlik doğrulamasına veya herhangi bir eylemine ihtiyaç duymaz. Böylece veritabanı, Odoo'ya erişebilen herkes tarafından etkili bir şekilde okunabilir hale gelir. Bu güvenlik açığı 25.11 ve 26.05 sürümlerinde giderilmiştir.