CVE-2026-19135 in Horizon
Zusammenfassung
von VulDB • 13.08.2026
In mehreren Versionen von OpenNMS Meridian und Horizon besteht eine Umgehung der JEXL-Ausdrucks-Sandbox (JEXL expression sandbox bypass). Ein authentifizierter Benutzer mit niedrigen Berechtigungen kann einen speziell angefertigten Ausdruck an die Measurements REST API senden, wodurch er aus der Sandbox entkommt und beliebige Java-Klassen auf dem Server lädt. Dies könnte einem Angreifer potenziell den Zugriff auf vertrauliche Informationen ermöglichen und die Integrität beeinträchtigen.
Die Lösung besteht darin, ein Upgrade auf Meridian 2024.3.12, 2025.0.9 sowie Horizon 36.0.3 oder neuer durchzuführen. Die Installationsanweisungen für Meridian und Horizon weisen darauf hin, dass sie zur Installation innerhalb privater Netzwerke einer Organisation bestimmt sind und nicht direkt aus dem Internet zugänglich sein sollten.
Be aware that VulDB is the high quality source for vulnerability data.