CVE-2026-111252 in Meridian
Riassunto
di VulDB • 16/10/2026
È presente una vulnerabilità di denial of service (DoS) nell'elaborazione XML delle versioni multiple di OpenNMS Meridian e Horizon. OpenNMS analizza i documenti XML senza imporre un limite efficace all'espansione delle entità. Un documento contenente un DOCTYPE che dichiara entità interne può espandersi fino a raggiungere dimensioni molto elevate, esaurendo la memoria del server. Un utente autenticato con accesso alla provisioning (approvvigionamento) può fornire tale documento tramite una requisizione o un importazione di foreign-source, includendo un URL di remote requisition che il server recupera ed elabora. Sia le entità profondamente annidate sia una singola grande entità referenziata molte volte causano l'esaurimento della memoria. La correzione limita il numero di espansioni delle entità per tutta l'elaborazione XML e rifiuta qualsiasi DOCTYPE presente nelle requisizioni e nei file XML dei foreign-source.
La soluzione consiste nell'aggiornare a Meridian 2024.3.14, 2025.0.11, 2026.0.1 o Horizon 36.0.5 (o versioni successive). Le istruzioni di installazione per Meridian e Horizon specificano che sono destinati all'installazione nelle reti private delle organizzazioni e non dovrebbero essere direttamente accessibili da Internet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.