Opennms
Уязвимости
18
Эксплуатируемые
0
Макс. CVSS
10
Макс. EPSS
0.0341
Распределение по критичности
Критический
2
Высокий
4
Средний
12
Низкий
0
Также сопоставлено как (исходные строки): opennms
Топ уязвимостей
CVE-2015-7856OpenNMS имеет пароль по умолчанию rtc для учетной записи rtc, что упрощает удаленным злоумышленникам получение доступа, используя знание учетных данных.
CVE-2020-1652OpenNMS доступен через порт 9443.
CVE-2021-3396OpenNMS Meridian 2016, 2017, 2018 до 2018.1.25, 2019 до 2019.1.16 и 2020 до 2020.1.5, Horizon 1.2 через 27.0.4 и Newts <1.5.3 имеют неправильный контроль доступа, что позволяет локально и удаленно выполнять код с использованием выражений JEXL.
CVE-2021-25931В OpenNMS Horizon, версии opennms-1-0-stable–opennms-27.1.0-1; OpenNMS Meridian, версии meridian-foundation-2015.1.0-1–meridian-foundation-2019.1.18-1; meridian-foundation-2020.1.0-1–meridian-foundation-2020.1.6-1, уязвимы для CSRF из-за отсутствия защиты CSRF в `/opennms/admin/userGroupView/users/updateUser`. Этот недостаток позволяет назначить роль безопасности `ROLE_ADMIN` обычному пользователю. Используя этот недостаток, злоумышленник может обманом заставить пользователя-администратора назначить права администратора обычному пользователю, заманив его на веб-сайт, контролируемый злоумышленником.
CVE-2020-12760Обнаружена проблема в OpenNMS Horizon до версии 26.0.1 и Meridian до версий 2018.1.19 и 2019 до 2019.1.7. Конфигурация канала ActiveMQ допускала произвольную десериализацию объектов Java (она же десериализация полезной нагрузки ActiveMQ Minion), что приводило к удаленному выполнению кода для любого аутентифицированного пользователя канала независимо от назначенных ему разрешений.
CVE-2020-11886OpenNMS Horizon и Meridian допускают HQL-инъекции в element/nodeList.htm (также известном как NodeListController) через snmpParm или snmpParmValue для addCriteriaForSnmpParm. Это затрагивает Horizon до версии 25.2.1, Meridian 2019 до версии 2019.1.4, Meridian 2018 до версии 2018.1.16 и Meridian 2017 до версии 2017.1.21.
CVE-2016-6556OpenNMS версии 18.0.1 и более ранние версии уязвимы для хранимой XSS из-за недостаточной фильтрации данных, предоставляемых агентом SNMP. Создав вредоносный ответ SNMP 'sysName' или 'sysContact', злоумышленник может сохранить полезную нагрузку XSS, которая будет срабатывать, когда пользователь веб-интерфейса просматривает данные. Эта проблема была исправлена в версии 18.0.2, выпущенной 20 сентября 2016 года.
CVE-2016-6555OpenNMS версии 18.0.1 и более ранние версии уязвимы для хранимой XSS из-за недостаточной фильтрации данных, предоставляемых SNMP trap. Создав вредоносный SNMP trap, злоумышленник может сохранить полезную нагрузку XSS, которая будет срабатывать, когда пользователь веб-интерфейса просматривает страницу списка событий. Эта проблема была исправлена в версии 18.0.2, выпущенной 20 сентября 2016 года.
CVE-2021-25935В OpenNMS Horizon, версии opennms-17.0.0-1–opennms-27.1.0-1; OpenNMS Meridian, версии meridian-foundation-2015.1.0-1–meridian-foundation-2019.1.18-1; meridian-foundation-2020.1.0-1–meridian-foundation-2020.1.7-1, уязвимы для сохраненного межсайтового скриптинга, поскольку функция `add()` выполняет неправильные проверки входных данных, отправляемых в параметр `foreign-source`. Из-за этого недостатка злоумышленник может обойти существующую проверку регулярного выражения и внедрить произвольный скрипт, который будет сохранен в базе данных.
CVE-2021-25934В OpenNMS Horizon, версии opennms-18.0.0-1–opennms-27.1.0-1; OpenNMS Meridian, версии meridian-foundation-2015.1.0-1–meridian-foundation-2019.1.18-1; meridian-foundation-2020.1.0-1–meridian-foundation-2020.1.7-1, уязвимы для сохраненного межсайтового скриптинга, поскольку функция `createRequisitionedNode()` не выполняет никаких проверок входных данных, отправляемых в параметр `node-label`. Из-за этого недостатка злоумышленник может внедрить произвольный скрипт, который будет сохранен в базе данных.
CVE-2021-25932В OpenNMS Horizon, версии opennms-1-0-stable–opennms-27.1.0-1; OpenNMS Meridian, версии meridian-foundation-2015.1.0-1–meridian-foundation-2019.1.18-1; meridian-foundation-2020.1.0-1–meridian-foundation-2020.1.6-1, уязвимы для сохраненного межсайтового скриптинга, поскольку функция `validateFormInput()` выполняет неправильные проверки входных данных, отправляемых в параметр `userID`. Из-за этого недостатка злоумышленник может внедрить произвольный скрипт, который будет сохранен в базе данных.
CVE-2021-25933В OpenNMS Horizon, версии opennms-1-0-stable–opennms-27.1.0-1; OpenNMS Meridian, версии meridian-foundation-2015.1.0-1–meridian-foundation-2019.1.18-1; meridian-foundation-2020.1.0-1–meridian-foundation-2020.1.6-1, уязвимы для сохраненного межсайтового скриптинга, поскольку функция `validateFormInput()` выполняет неправильные проверки входных данных, отправляемых в параметры `groupName` и `groupComment`. Из-за этого недостатка аутентифицированный злоумышленник может внедрить произвольный скрипт и обманом заставить других пользователей-администраторов загружать вредоносные файлы, что может нанести серьезный ущерб организации, использующей opennms.
CVE-2021-25929В OpenNMS Horizon, версии opennms-1-0-stable–opennms-27.1.0-1; OpenNMS Meridian, версии meridian-foundation-2015.1.0-1–meridian-foundation-2019.1.18-1; meridian-foundation-2020.1.0-1–meridian-foundation-2020.1.6-1, уязвимы для сохраненного межсайтового скриптинга, поскольку отсутствует проверка входных данных, отправляемых в параметр `name` в конечной точке `noticeWizard`. Из-за этого недостатка аутентифицированный злоумышленник может внедрить произвольный скрипт и обманом заставить других пользователей-администраторов загружать вредоносные файлы.
CVE-2021-25930В OpenNMS Horizon, версии opennms-1-0-stable–opennms-27.1.0-1; OpenNMS Meridian, версии meridian-foundation-2015.1.0-1–meridian-foundation-2019.1.18-1; meridian-foundation-2020.1.0-1–meridian-foundation-2020.1.6-1, уязвимы для CSRF из-за отсутствия защиты CSRF и отсутствия проверки существующего имени пользователя при переименовании пользователя. В результате привилегии переименованного пользователя перезаписываются старым пользователем, а старый пользователь удаляется из списка пользователей.
CVE-2014-3960Множественные межсайтовые уязвимости скриптинга (XSS) в OpenNMS до 1.12.7 позволяют удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через неуказанные векторы.
CVE-2012-0936Уязвимость межсайтового скриптинга (XSS) в web/springframework/security/SecurityAuthenticationEventOnmsEventBuilder.java в OpenNMS 1.8.x до 1.8.17, 1.9.93 и более ранних версиях и 1.10.x до 1.10.1 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через поле Username, связанное с входом в систему.
CVE-2008-6095Уязвимость межсайтового скриптинга (XSS) в surveillanceView.htm в OpenNMS 1.5.94 позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр viewName.
CVE-2008-4320Множественные уязвимости межсайтового скриптинга (XSS) в OpenNMS до версии 1.5.94 позволяют удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через (1) параметр j_username в j_acegi_security_check, (2) параметр username в notification/list.jsp и (3) параметр filter в event/list.