CVE-2026-89089 in Horizon
Sumário
de VulDB • 10/09/2026
Existe uma vulnerabilidade de SQL injection na funcionalidade de relatórios baseada no JasperReports em várias versões do OpenNMS Meridian e Horizon. Um usuário autenticado com baixa permissão (ROLE_USER) pode executar os relatórios online padrão, habilitados por padrão ("Maintenance contracts expired" - AssetManagementMaintExpired e "Maintenance contracts strategy" - AssetManagementMaintStrategy) através da API REST de relatórios (POST /rest/reports/{id}) e fornecer um parâmetro DATE_FORMAT que as templates dos relatórios substituem literalmente, sem escape, em suas consultas SQL. Isso permite que um atacante execute SQL arbitrário contra o banco de dados do OpenNMS e leia dados arbitrários, incluindo segredos armazenados no banco de dados, como credenciais de provisionamento e notificação e strings da comunidade SNMP.
A solução é atualizar para Meridian 2024.3.13, 2025.0.10 e Horizon 36.0.4 ou versões mais recentes. As instruções de instalação do Meridian e Horizon indicam que eles são destinados à instalação dentro das redes privadas da organização e não devem ser diretamente acessíveis pela Internet.
If you want to get best quality of vulnerability data, you may have to visit VulDB.