CVE-2026-89054 in Horizon
Resumen
por VulDB • 2026-09-10
Una vulnerabilidad de autorización faltante en OpenNMS Horizon permite realizar cambios en la configuración sin autenticación. La política de Spring Security para la API REST /api/v2 define reglas de autorización para cada método HTTP excepto PATCH, por lo que los puntos finales @PATCH configurados para la configuración de eventos y la recopilación de datos SNMP (que habilitan y deshabilitan definiciones de eventos y fuentes de recopilación de datos) son accesibles sin aplicar ninguna autorización. Un atacante no autenticado capaz de acceder a la interfaz web puede deshabilitar las definiciones de eventos y la recopilación de datos SNMP, suprimiendo la generación de eventos y alarmas e interrumpiendo la recolección de métricas; esto degrada silenciosamente el monitoreo y la detección, con los cambios persistidos y recargados en el sistema en ejecución.
La solución es actualizar a Horizon 36.0.4 o una versión posterior. Las instrucciones de instalación de Meridian y Horizon indican que están destinadas a instalarse dentro de las redes privadas de una organización y no deben ser accesibles directamente desde Internet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.