CVE-2026-89054 in Horizon
الملخص
بحسب VulDB • 10/09/2026
تتيح ثغرة نقص التفويض (Missing Authorization) في OpenNMS Horizon إجراء تغييرات على التكوين دون الحاجة إلى المصادقة. تحدد سياسة Spring Security الخاصة بواجهة برمجة التطبيقات REST /api/v2 قواعد التفويض لكل طريقة HTTP باستثناء PATCH، مما يجعل نقاط نهاية تكوين @PATCH المُرفقة مع النظام لتكوين الأحداث وجمع بيانات SNMP (التي تفعّل وتعطيل تعريفات الأحداث ومصادر جمع البيانات) قابلة للوصول دون فرض أي تفويض. يمكن لمهاجم غير مُصادق عليه قادر على الوصول إلى واجهة المستخدم عبر الويب تعطيل تعريفات الأحداث وجمع بيانات SNMP، مما يؤدي إلى كبت توليد الأحداث والتنبيهات وإيقاف جمع المقاييس - مما يُدهش عمليات المراقبة والكشف بشكل صامت - مع بقاء التغيير محفوظًا وإعادة تحميله في النظام قيد التشغيل.
الحل هو الترقية إلى الإصدار 36.0.4 من Horizon أو أحدث. تنص تعليمات تثبيت Meridian وHorizon على أنهما مُعدّان للتثبيت داخل الشبكات الخاصة للمنظمة ولا ينبغي أن تكونا قابلتين للوصول المباشر من الإنترنت.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.