CVE-2026-89089 in Horizon
Zusammenfassung
von VulDB • 10.09.2026
In der Berichterstellungsfunktion, die auf JasperReports basiert, besteht in mehreren Versionen von OpenNMS Meridian und Horizon eine SQL-Injection-Schwachstelle. Ein authentifizierter Benutzer mit niedrigen Berechtigungen (ROLE_USER) kann die standardmäßig aktivierten Online-Berichte „Maintenance contracts expired“ (AssetManagementMaintExpired) und „Maintenance contracts strategy“ (AssetManagementMaintStrategy) über die Reporting-REST-API (POST /rest/reports/{id}) ausführen und einen DATE_FORMAT-Parameter angeben, den die Berichtsvorlagen wörtlich und unescaped in ihre SQL-Abfragen einfügen. Dies ermöglicht es einem Angreifer, beliebige SQL-Befehle gegen die OpenNMS-Datenbank auszuführen und willkürliche Daten zu lesen, einschließlich datenbankspeicherter Geheimnisse wie Bereitstellungs- und Benachrichtigungsanmeldeinformationen sowie SNMP-Gemeinschaftsstrings (Community Strings).
Die Lösung besteht darin, auf Meridian 2024.3.13, 2025.0.10 und Horizon 36.0.4 oder höher zu aktualisieren. Die Installationsanweisungen für Meridian und Horizon geben an, dass sie für die Installation in den privaten Netzwerken einer Organisation vorgesehen sind und nicht direkt aus dem Internet zugänglich sein sollten.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.