CVE-2026-89089 in Horizon
الملخص
بحسب VulDB • 10/09/2026
توجد ثغرة حقن SQL في ميزة التقارير المعتمدة على JasperReports الموجودة في إصدارات متعددة من OpenNMS Meridian وHorizon. يمكن لمستخدم مُصادق عليه ذو امتيازات منخفضة (ROLE_USER) تشغيل تقارير الويب المرفقة والمفعّلة افتراضياً وهي "Maintenance contracts expired" (AssetManagementMaintExpired) و"Maintenance contracts strategy" (AssetManagementMaintStrategy) عبر واجهة برمجة التطبيقات REST الخاصة بالتقارير (POST /rest/reports/{id})، وتقديم معلمة DATE_FORMAT التي تستبدلها قوالب التقارير حرفياً وبدون تهريب (un-escaped) داخل استعلامات SQL الخاصة بها. يتيح هذا للمهاجم تنفيذ أوامر SQL تعسفية ضد قاعدة بيانات OpenNMS وقراءة بيانات عشوائية، بما في ذلك الأسرار المخزنة في قاعدة البيانات مثل بيانات اعتماد التجهيز وإشعارات SNMP community strings.
الحل هو الترقية إلى Meridian 2024.3.13 و2025.0.10 وHorizon 36.0.4 أو أحدث. تنص تعليمات تثبيت Meridian وHorizon على أنهما مُعدّان للتثبيت داخل الشبكات الخاصة للمنظمة ولا ينبغي أن تكونا قابلتين للوصول المباشر من الإنترنت.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.