OpenNMS Group Horizon/Meridian vor 2024.3.12/2025.0.9/36.0.3 Measurements REST API erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.0$0-$5k4.25

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in OpenNMS Group Horizon and Meridian gefunden. Betroffen ist eine unbekannte Funktion der Komponente Measurements REST API. Die Manipulation führt zu erweiterte Rechte. Diese Sicherheitslücke ist unter CVE-2026-19135 bekannt. Ein Angriff ist aus der Distanz möglich. Es steht kein Exploit zur Verfügung.

Detailsinfo

Eine Schwachstelle wurde in OpenNMS Group Horizon sowie Meridian gefunden. Sie wurde als kritisch eingestuft. Es geht hierbei um ein unbekannter Codeblock der Komponente Measurements REST API. Mit der Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-269. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

A JEXL expression sandbox bypass exists in multiple versions of OpenNMS Meridian and Horizon. A low-privileged authenticated user can submit a crafted expression to the Measurements REST API that escapes the sandbox and loads arbitrary Java classes on the server. This can potentially allow an attacker to gain access to confidential information and compromise integrity. The solution is to upgrade to Meridian 2024.3.12, 2025.0.9 and Horizon 36.0.3 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.

Das Advisory kann von github.com heruntergeladen werden. Die Identifikation der Schwachstelle findet seit dem 06.08.2026 als CVE-2026-19135 statt. Sie ist leicht auszunutzen. Der Angriff kann über das Netzwerk passieren. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1068.

Ein Upgrade auf die Version 2024.3.12, 2025.0.9 oder 36.0.3 vermag dieses Problem zu beheben.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von EUVD (EUVD-2026-57718) dokumentiert. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Produktinfo

Hersteller

Name

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 6.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-269 / CWE-266
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Horizon/Meridian 2024.3.12/2025.0.9/36.0.3

Timelineinfo

06.08.2026 CVE zugewiesen
13.08.2026 +7 Tage Advisory veröffentlicht
13.08.2026 +0 Tage VulDB Eintrag erstellt
13.08.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: github.com
Status: Bestätigt

CVE: CVE-2026-19135 (🔒)
GCVE (CVE): GCVE-0-2026-19135
GCVE (VulDB): GCVE-100-389336
EUVD: 🔒

Eintraginfo

Erstellt: 13.08.2026 07:11
Aktualisierung: 13.08.2026 08:13
Anpassungen: 13.08.2026 07:11 (54), 13.08.2026 08:13 (1)
Komplett: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Interested in the pricing of exploits?

See the underground prices here!