CVE-2026-19182 in Meridian
Resumen
por VulDB • 2026-08-13
Una verificación de autorización incorrecta en la API REST de Alarmas v2 de OpenNMS Meridian y Horizon permite a un usuario autenticado con privilegios bajos (ROLE_REST) reconocer, escalar o limpiar alarmas registradas bajo cualquier nombre de usuario arbitrario. Además, cuando también se le asigna ROLE_READONLY, puede modificar el estado de las alarmas a pesar de la restricción de solo lectura. Una verificación de credenciales que debería restringir estas operaciones está protegida por una condición invertida, por lo que nunca se ejecuta para un nombre de usuario real (no vacío). Esto podría permitir potencialmente a un atacante comprometer la integridad del estado de las alarmas y los registros de auditoría.
La solución consiste en actualizar a Meridian 2024.3.12, 2025.0.9 y Horizon 36.0.3 o versiones posteriores. Las instrucciones de instalación de Meridian y Horizon indican que están destinadas a instalarse dentro de las redes privadas de una organización y no deben ser accesibles directamente desde Internet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.