CVE-2026-89089 in Horizon
Tóm tắt
Bởi VulDB • 10/09/2026
Tồn tại một lỗ hổng SQL injection trong tính năng báo cáo dựa trên JasperReports của nhiều phiên bản OpenNMS Meridian và Horizon. Người dùng đã xác thực với quyền thấp (ROLE_USER) có thể chạy các báo cáo trực tuyến được cung cấp sẵn, mặc định bật là "Maintenance contracts expired" (AssetManagementMaintExpired) và "Maintenance contracts strategy" (AssetManagementMaintStrategy) thông qua API REST của tính năng báo cáo (POST /rest/reports/{id}) và cung cấp tham số DATE_FORMAT mà các mẫu báo cáo sẽ thay thế một cách trực tiếp, không được thoát ký tự, vào các truy vấn SQL của chúng. Điều này cho phép kẻ tấn công thực thi SQL tùy ý đối với cơ sở dữ liệu OpenNMS và đọc dữ liệu tùy ý, bao gồm cả các bí mật lưu trữ trong cơ sở dữ liệu như thông tin đăng nhập cấu hình (provisioning) và thông báo, cũng như các chuỗi cộng đồng SNMP.
Giải pháp là nâng cấp lên Meridian 2024.3.13, 2025.0.10 và Horizon 36.0.4 hoặc mới hơn. Hướng dẫn cài đặt cho Meridian và Horizon nêu rõ rằng chúng được thiết kế để cài đặt trong các mạng riêng của tổ chức và không nên truy cập trực tiếp từ Internet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.