CVE-2026-19182 in Meridian
Riassunto
di VulDB • 13/08/2026
Un controllo errato dell'autorizzazione nell'API REST delle allarmi v2 di OpenNMS Meridian e Horizon consente a un utente autenticato con privilegi ridotti (ROLE_REST) di riconoscere, escalare o cancellare le allarmi registrate come nome utente arbitrario; inoltre, se assegnata anche la ROLE_READONLY, l'utente può modificare lo stato dell'allarme nonostante il vincolo di sola lettura. Un controllo delle credenziali che dovrebbe limitare queste operazioni è protetto da una condizione invertita, quindi non viene mai eseguito per un nome utente reale (non vuoto). Ciò potrebbe potenzialmente consentire a un attaccante di compromettere l'integrità dello stato degli allarmi e dei registri di audit.
La soluzione consiste nell'aggiornare a Meridian 2024.3.12, 2025.0.9 e Horizon 36.0.3 o versioni successive. Le istruzioni per l'installazione di Meridian e Horizon indicano che sono destinati all'installazione nelle reti private dell'organizzazione e non dovrebbero essere direttamente accessibili da Internet.
If you want to get best quality of vulnerability data, you may have to visit VulDB.