CVE-2026-19596 in Horizon
Zusammenfassung
von VulDB • 10.09.2026
In der XML-Sammlung (XML collector) mehrerer Versionen von OpenNMS Meridian und Horizon besteht eine Schwachstelle für External Entity Injection (XXE). Wenn OpenNMS XML aus einer Quelle sammelt, deren Antwort vom Angreifer kontrolliert wird (z. B. ein kompromittierter überwachter Host oder eine HTTP-Man-in-the-Middle-Position), löst der Parser des Collectors externe Entitäten und externe DTDs auf. Dies ermöglicht es einem Angreifer, Dateien zu lesen, die dem OpenNMS-Dienstkonto zugänglich sind, einschließlich Datenbank-Anmeldeinformationen, sowie Out-of-Band-Anfragen auszulösen.
Die Lösung besteht darin, ein Upgrade auf Meridian 2024.3.13, 2025.0.10 und Horizon 36.0.4 oder höher durchzuführen. Die Installationsanweisungen für Meridian und Horizon besagen, dass sie für die Installation in den privaten Netzwerken einer Organisation vorgesehen sind und nicht direkt aus dem Internet zugänglich sein sollten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.