CVE-2026-89054 in Horizon
Sumário
de VulDB • 10/09/2026
Uma vulnerabilidade de autorização ausente no OpenNMS Horizon permite alterações na configuração sem autenticação. A política do Spring Security para a API REST /api/v2 define regras de autorização para todos os métodos HTTP, exceto PATCH; portanto, os endpoints de configuração @PATCH fornecidos para configuração de eventos e coleta de dados SNMP (que ativam e desativam definições de eventos e fontes de coleta de dados) são acessíveis sem nenhuma autorização imposta. Um atacante não autenticado capaz de alcançar a interface web pode desativar as definições de eventos e a coleta de dados SNMP, suprimindo a geração de eventos e alarmes e interrompendo a coleta de métricas – degradando silenciosamente o monitoramento e a detecção –, com a alteração persistida e recarregada no sistema em execução.
A solução é atualizar para o Horizon 36.0.4 ou versão mais recente. As instruções de instalação do Meridian e do Horizon indicam que eles são destinados à instalação dentro das redes privadas de uma organização e não devem ser diretamente acessíveis pela Internet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.