CVE-2026-25137

{
  "id": "CVE-2026-25137",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-25137",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-02-04T15:55:17.650303Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.1,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "NixOS",
          "product": "nixpkgs",
          "versions": [
            {
              "status": "affected",
              "version": ">= 21.11, < 25.11"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-02-02T23:16:09.280",
  "references": [
    {
      "url": "https://github.com/NixOS/nixpkgs/pull/485310",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/NixOS/nixpkgs/pull/485454",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/NixOS/nixpkgs/security/advisories/GHSA-cwmq-6wv5-f3px",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-306"
        },
        {
          "lang": "en",
          "value": "CWE-552"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The NixOs Odoo package is an open source ERP and CRM system. From 21.11 to before 25.11 and 26.05, every NixOS based Odoo setup publicly exposes the database manager without any authentication. This allows unauthorized actors to delete and download the entire database, including Odoos file store. Unauthorized access is evident from http requests. If kept, searching access logs and/or Odoos log for requests to /web/database can give indicators, if this has been actively exploited. The database manager is a featured intended for development and not meant to be publicly reachable. On other setups, a master password acts as 2nd line of defence. However, due to the nature of NixOS, Odoo is not able to modify its own configuration file and thus unable to persist the auto-generated password. This also applies when manually setting a master password in the web-UI. This means, the password is lost when restarting Odoo. When no password is set, the user is prompted to set one directly via the database manager. This requires no authentication or action by any authorized user or the system administrator. Thus, the database is effectively world readable by anyone able to reach Odoo. This vulnerability is fixed in 25.11 and 26.05."
    },
    {
      "lang": "es",
      "value": "El paquete NixOs Odoo es un sistema ERP y CRM de código abierto. Desde la versión 21.11 hasta antes de la 25.11 y la 26.05, cada configuración de Odoo basada en NixOS expone públicamente el gestor de la base de datos sin ninguna autenticación. Esto permite a actores no autorizados eliminar y descargar la base de datos completa, incluyendo el almacén de archivos de Odoo. El acceso no autorizado es evidente a partir de las solicitudes HTTP. Si se mantienen, la búsqueda en los registros de acceso y/o el registro de Odoo de solicitudes a /web/database puede dar indicadores, si esto ha sido explotado activamente. El gestor de la base de datos es una característica destinada al desarrollo y no está pensado para ser accesible públicamente. En otras configuraciones, una contraseña maestra actúa como segunda línea de defensa. Sin embargo, debido a la naturaleza de NixOS, Odoo no puede modificar su propio archivo de configuración y, por lo tanto, no puede persistir la contraseña autogenerada. Esto también se aplica al establecer manualmente una contraseña maestra en la interfaz de usuario web (web-UI). Esto significa que la contraseña se pierde al reiniciar Odoo. Cuando no se establece ninguna contraseña, se le pide al usuario que establezca una directamente a través del gestor de la base de datos. Esto no requiere autenticación ni acción por parte de ningún usuario autorizado o del administrador del sistema. Por lo tanto, la base de datos es efectivamente legible por cualquier persona capaz de alcanzar Odoo. Esta vulnerabilidad está corregida en las versiones 25.11 y 26.05."
    }
  ],
  "lastModified": "2026-06-17T10:24:10.317",
  "sourceIdentifier": "security-advisories@github.com"
}