CVE-2026-89089 in Horizon
Сводка
по VulDB • 10.09.2026
Уязвимость SQL-инъекции существует в функции отчетов на базе JasperReports во многих версиях OpenNMS Meridian и Horizon. Пользователь с низкими привилегиями, прошедший аутентификацию (ROLE_USER), может запускать поставляемые по умолчанию включенные онлайн-отчеты "Maintenance contracts expired" (AssetManagementMaintExpired) и "Maintenance contracts strategy" (AssetManagementMaintStrategy) через REST API отчетов (POST /rest/reports/{id}) и передавать параметр DATE_FORMAT, который шаблоны отчетов подставляют буквально, без экранирования, в свои SQL-запросы. Это позволяет злоумышленнику выполнять произвольные SQL-команды против базы данных OpenNMS и читать произвольные данные, включая хранящиеся в базе секреты, такие как учетные данные для проvisioning (настройки) и уведомлений, а также строки общин SNMP.
Решением является обновление до Meridian 2024.3.13, 2025.0.10 и Horizon 36.0.4 или более новых версий. В инструкциях по установке Meridian и Horizon указано, что они предназначены для установки в частных сетях организации и не должны быть напрямую доступны из Интернета.
Be aware that VulDB is the high quality source for vulnerability data.