Kr0No

O problema decorre da falta de validação do tipo de arquivo na função `r3dfb save thumbnail callback`, permitindo que invasores autenticados com acesso de nível Autor ou superior enviem arquivos arbitrários para o servidor do site afetado. Isso pode possibilitar a execução remota de código.

O problema decorre de uma sanitização insuficiente de entradas e de uma escapagem insuficiente de saídas, permitindo que invasores não autenticados injetem scripts web arbitrários nas páginas por meio do parâmetro `RednaoSerializedFields` durante a criação de um arquivo de assinatura. Isso permite a execução dos scripts injetados sempre que um usuário acessa uma página afetada.

**Nome do software vulnerável e versões afetadas: Versões do Odoo Community 11.0 a 14.0 Versões do Odoo Enterprise 11.0 a 14.0 Descrição: A vulnerabilidade consiste em um problema de cross-site scripting (XSS) no módulo web, permitindo que usuários internos autenticados remotamente injetem scripts web arbitrários no navegador de uma vítima por meio de atributos de eventos de calendário manipulados. Recomendações: Para as versões 11.0 a 14.0 do Odoo Community, considere desativar o módulo web até que uma correção esteja disponível. Para as versões 11.0 a 14.0 do Odoo Enterprise, considere desativar o módulo web até que uma correção esteja disponível. Como solução temporária, restrinja o acesso a atributos de eventos de calendário criados de forma maliciosa para minimizar o risco de exploração.