CVE-2026-111235

Nome do Software Vulnerável e Versões Afetadas OpenNMS Meridian versões anteriores a 2024.3.14, 2025.0.11 e 2026.0.1 OpenNMS Horizon versões anteriores a 36.0.5

Descrição Existe uma falha de bypass de autorização na API REST devido à configuração incorreta das cadeias de filtros do Spring Security. As cadeias de filtros /rest/** utilizam regras de intercept-url que comparam métodos HTTP com diferenciação de maiúsculas e minúsculas e não possuem uma regra de negação terminal. Consequentemente, requisições que utilizam tokens de método não canônicos, como letras minúsculas, ignoram a autenticação. Isso permite que um invasor remoto não autenticado leia o inventário monitorado e crie, modifique ou exclua recursos, incluindo a injeção de eventos para fabricar ou suprimir alarmes. Além disso, a cadeia /rest/alarms carece de uma regra de negação, resultando em uma discrepância de resposta observável que revela a existência de alarmes.

Recomendações Atualize o Meridian para a versão 2024.3.14, 2025.0.11 ou 2026.0.1. Atualize o Horizon para a versão 36.0.5 ou superior. Garanta que o software seja instalado em redes privadas organizacionais e não esteja diretamente acessível pela Internet.