CVE-2026-89089

Nome do Software Vulnerável e Versões Afetadas OpenNMS Meridian versões anteriores a 2024.3.13 OpenNMS Meridian versões anteriores a 2025.0.10 OpenNMS Horizon versões anteriores a 36.0.4

Description Um problema de injeção de SQL existe no recurso de relatórios baseado em JasperReports. Um usuário autenticado com baixos privilégios e a permissão ROLE USER pode explorar isso utilizando o endpoint da API REST de relatórios POST /rest/reports/{id} para executar os relatórios habilitados por padrão AssetManagementMaintExpired (Maintenance contracts expired) e AssetManagementMaintStrategy (Maintenance contracts strategy). Ao fornecer um parâmetro DATE FORMAT malicioso, que é substituído literalmente e sem escape nas consultas SQL, um invasor pode executar comandos SQL arbitrários no banco de dados. Isso permite a recuperação de dados sensíveis, incluindo credenciais de notificação, segredos de provisionamento e strings de comunidade SNMP.

Recommendations Atualize para a versão 2024.3.13 ou superior. Atualize para a versão 2025.0.10 ou superior. Atualize para a versão 36.0.4 ou superior. Garanta que o software esteja instalado em redes privadas e não esteja diretamente acessível pela Internet.