何が起きたか
Odoo MCPのフィールドレベルアクセス制御は、execute_methodツールを呼び出すことでバイパスできます：execute_methodを介して拒否されたフィールド名でread/search_readを呼び出すと、その値が未編集で返されます。MCPサーバーはエージェントから直接到達可能であるため、プロンプトインジェクションされたコンテンツが、MCP統合が隠すことを意図していたフィールドに対してクエリを誘導できます。
なぜ重要か
ERPデータはまさにRAG/エージェントパイプラインが取得する機密性の高い構造化データです。MCP境界でのフィールドACLバイパスは、エージェント — またはそれらを制御するプロンプトインジェクションされたコンテンツ — が、統合が明示的に編集した給与、価格設定、PIIフィールドを回復できることを意味します。
攻撃経路
MCPクライアント（またはプロンプトインジェクションされたエージェント）がexecute_methodツールを呼び出し、フィールドレベルACLが拒否するフィールドを指定してreadまたはsearch_readを呼び出します。未編集の値が返され、意図されたフィールドスコープ制御がバイパスされます。
影響を受けるシステム
Odoo MCP (erpipe-org) 1.0.0〜1.3.2 (execute_methodツール)
緩和策
Odoo MCPを1.3.2以降にアップグレードするか、execute_methodツールの利用を信頼できるクライアントに制限してください（VulnCheck勧告 / erpipe-org/mcp-odooを参照）。