CVE-2026-111235
Existe una vulnerabilidad de omisión de autorización en la API REST de múltiples versiones de OpenNMS Meridian y Horizon. Las cadenas de filtros de Spring Security de /rest/** autorizan las solicitudes mediante reglas intercept-url que nombran el método HTTP como un token en mayúsculas, comparan el método distinguiendo entre mayúsculas y minúsculas y no tienen una regla de denegación terminal. Una solicitud que usa un token de método no canónico (por ejemplo, en minúsculas) no coincide con ninguna regla y se procesa sin autenticación.
Leer descripción completaMostrar menos
Un atacante remoto y no autenticado puede leer el inventario supervisado y puede crear, modificar o eliminar recursos mediante la API REST, lo que incluye inyectar eventos para fabricar o suprimir alarmas. La cadena /rest/alarms presenta la misma falta de regla de denegación y revela si existe una alarma mediante una diferencia en la respuesta. La solución añade una regla de denegación terminal a cada cadena de filtros REST.
La solución consiste en actualizar a Meridian 2024.3.14, 2025.0.11, 2026.0.1 y Horizon 36.0.5 o posterior. Las instrucciones de instalación de Meridian y Horizon indican que están pensados para instalarse en las redes privadas de una organización y no deberían ser accesibles directamente desde Internet.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 9.1
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.38 %
- Percentil entre todas las CVEs puntuadas
- 30
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access95 % - Impacto principal
T1565Data Manipulationimpact85 % - Impacto secundario
T1213Data from Information Repositoriescollection70 %
CVSS AV:N/PR:N/UI:N y la descripción indica acceso remoto sin autenticación a la API REST; inyección de eventos y modificación de recursos sustentan T1565, y lectura inventario T1213.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (2)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-204, CWE-862, CWE-863
Referencias
Mostrar las 1 referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-111235",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-111235",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "yes"
},
{
"technicalImpact": "total"
}
],
"version": "2.0.3",
"timestamp": "2026-10-16T19:59:23.754367Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@opennms.com",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 9.1,
"attackVector": "NETWORK",
"baseSeverity": "CRITICAL",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N",
"integrityImpact": "HIGH",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
},
"impactScore": 5.2,
"exploitabilityScore": 3.9
}
]
},
"affected": [
{
"source": "security@opennms.com",
"affectedData": [
{
"repo": "https://github.com/OpenNMS",
"vendor": "The OpenNMS Group",
"product": "Meridian",
"versions": [
{
"status": "affected",
"version": "2024.1.0",
"lessThan": "2024.3.14",
"versionType": "maven"
},
{
"status": "affected",
"version": "2025.0.0",
"lessThan": "2025.0.11",
"versionType": "maven"
},
{
"status": "affected",
"version": "2026.0.0",
"lessThan": "2026.0.1",
"versionType": "maven"
}
],
"defaultStatus": "unaffected"
},
{
"repo": "https://github.com/OpenNMS",
"vendor": "The OpenNMS Group",
"product": "Horizon",
"versions": [
{
"status": "affected",
"version": "36.0.0",
"lessThan": "36.0.5",
"versionType": "maven"
}
],
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-15T19:17:36.693",
"references": [
{
"url": "https://github.com/OpenNMS/opennms/pull/8934",
"source": "security@opennms.com"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@opennms.com",
"description": [
{
"lang": "en",
"value": "CWE-204"
},
{
"lang": "en",
"value": "CWE-862"
},
{
"lang": "en",
"value": "CWE-863"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "An authorization bypass vulnerability exists in the REST API of multiple versions of OpenNMS Meridian and Horizon. The /rest/** Spring Security filter chains authorize requests with intercept-url rules that name the HTTP method as an uppercase token, compare the method case-sensitively, and have no terminal deny rule. A request that uses a non-canonical (for example lowercase) method token matches no rule and is processed without authentication. A remote, unauthenticated attacker can read the monitored inventory and can create, modify, or delete resources through the REST API, which includes injecting events to fabricate or suppress alarms. The /rest/alarms chain has the same missing deny rule and discloses whether an alarm exists through a difference in the response. The fix adds a terminal deny rule to each REST filter chain.\n\n\n\nThe solution is to upgrade to Meridian 2024.3.14, 2025.0.11, 2026.0.1 and Horizon 36.0.5 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet."
}
],
"lastModified": "2026-10-16T20:17:19.620",
"sourceIdentifier": "security@opennms.com"
}