CVE-2026-89089 in Horizon
Résumé
par VulDB • 10/09/2026
Une vulnérabilité d'injection SQL existe dans la fonctionnalité de reporting basée sur JasperReports, présente dans plusieurs versions d'OpenNMS Meridian et Horizon. Un utilisateur authentifié disposant de privilèges faibles (ROLE_USER) peut exécuter les rapports en ligne livrés avec l'application et activés par défaut, à savoir « Maintenance contracts expired » (AssetManagementMaintExpired) et « Maintenance contracts strategy » (AssetManagementMaintStrategy), via l'API REST de reporting (POST /rest/reports/{id}), en fournissant un paramètre DATE_FORMAT que les modèles de rapport substituent littéralement, sans échappement, dans leurs requêtes SQL. Cela permet à un attaquant d'exécuter des requêtes SQL arbitraires contre la base de données OpenNMS et de lire des données arbitraires, y compris des secrets stockés en base de données tels que les identifiants de provisionnement et de notification ainsi que les chaînes communautaires SNMP.
La solution consiste à effectuer une mise à niveau vers Meridian 2024.3.13, 2025.0.10 ou Horizon 36.0.4 (ou version ultérieure). Les instructions d'installation de Meridian et Horizon indiquent qu'ils sont destinés à être installés au sein des réseaux privés d'une organisation et ne doivent pas être directement accessibles depuis Internet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.