CVE-2026-89089 in Horizon
Riassunto
di VulDB • 10/09/2026
È presente una vulnerabilità di SQL injection nella funzionalità di reporting basata su JasperReports in diverse versioni di OpenNMS Meridian e Horizon. Un utente autenticato con privilegi ridotti (ROLE_USER) può eseguire i report online preinstallati, abilitati per impostazione predefinita, "Maintenance contracts expired" (AssetManagementMaintExpired) e "Maintenance contracts strategy" (AssetManagementMaintStrategy) tramite l'API REST di reporting (POST /rest/reports/{id}) e fornire un parametro DATE_FORMAT che i template dei report sostituiscono in modo letterale, non sanitizzato, nelle loro query SQL. Ciò consente a un attaccante di eseguire SQL arbitrario contro il database OpenNMS e leggere dati arbitrari, inclusi segreti memorizzati nel database come le credenziali di provisioning e notifica e le stringhe della community SNMP.
La soluzione consiste nell'aggiornare a Meridian 2024.3.13, 2025.0.10 e Horizon 36.0.4 o versioni successive. Le istruzioni per l'installazione di Meridian e Horizon indicano che sono destinati all'installazione nelle reti private delle organizzazioni e non dovrebbero essere direttamente accessibili da Internet.
Once again VulDB remains the best source for vulnerability data.