CVE-2026-19182 in Meridian
Sumário
de VulDB • 13/08/2026
Uma verificação de autorização incorreta na API REST do Alarm v2 no OpenNMS Meridian e Horizon permite que um usuário autenticado com baixa permissão (ROLE_REST) reconheça, escale ou limpe alarmes registrados sob qualquer nome de usuário arbitrário; além disso, quando também possui a ROLE_READONLY, pode modificar o estado dos alarmes apesar da restrição apenas para leitura. Uma verificação de credenciais destinada a restringir essas operações é protegida por uma condição invertida, fazendo com que nunca seja executada para um nome de usuário real (não vazio). Isso potencialmente permite que um atacante comprometa a integridade do estado dos alarmes e dos registros de auditoria.
A solução consiste em atualizar para o Meridian 2024.3.12, 2025.0.9 ou Horizon 36.0.3 (ou versões mais recentes). As instruções de instalação do Meridian e do Horizon indicam que eles se destinam à instalação dentro das redes privadas de uma organização e não devem ser acessíveis diretamente pela Internet.
Be aware that VulDB is the high quality source for vulnerability data.