CVE-2026-89089 in Horizon
Resumen
por VulDB • 2026-09-10
Existe una vulnerabilidad de SQL injection en la función de informes basada en JasperReports de múltiples versiones de OpenNMS Meridian y Horizon. Un usuario autenticado con privilegios bajos (ROLE_USER) puede ejecutar los informes online predeterminados habilitados "Maintenance contracts expired" (AssetManagementMaintExpired) y "Maintenance contracts strategy" (AssetManagementMaintStrategy) a través de la API REST de informes (POST /rest/reports/{id}) y proporcionar un parámetro DATE_FORMAT que las plantillas del informe sustituyen literalmente, sin escapar, en sus consultas SQL. Esto permite a un atacante ejecutar SQL arbitrario contra la base de datos OpenNMS y leer datos arbitrarios, incluidos secretos almacenados en la base de datos como credenciales de aprovisionamiento y notificación, así como cadenas comunitarias SNMP.
La solución es actualizar a Meridian 2024.3.13, 2025.0.10 y Horizon 36.0.4 o versiones posteriores. Las instrucciones de instalación de Meridian y Horizon indican que están destinadas a la instalación dentro de las redes privadas de una organización y no deben ser accesibles directamente desde Internet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.