目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CVE-2026-19596— OpenNMS 采集器 XML 实体注入漏洞

一分钟漏洞结论

影响对象
The OpenNMS Group Meridian
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

多个版本的 OpenNMS Meridian 和 Horizon 中的 XML 采集器存在 XML 外部实体（XXE）漏洞。当 OpenNMS 从攻击者可控制的来源（例如已被攻陷的被监控主机，或处于 HTTP 中间人攻击位置的来源）采集 XML 时，采集器的 XML 解析器会解析外部实体和外部 DTD。这使得攻击者能够读取 OpenNMS 服务账户可访问的文件（包括数据库凭证），并触发带外（out-of-band）请求。 解决方案是升级至 Meridian 2024.3.13、2025.0.10 或更新版本，以及

CVSS 5.9 · Medium
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-19596 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
OpenNMS XML collector XXE allows arbitrary file read from the OpenNMS host
来源: CVE Program / CVE List V5
Vulnerability Description
An XML External Entity (XXE) vulnerability exists in the XML collector of multiple versions of OpenNMS Meridian and Horizon. When OpenNMS collects XML from a source whose response is attacker-controlled (for example a compromised monitored host or an HTTP man-in-the-middle position), the collector's XML parser resolves external entities and external DTDs. This allows an attacker to read files accessible to the OpenNMS service account, including database credentials, and to induce out-of-band requests. The solution is to upgrade to Meridian 2024.3.13, 2025.0.10 and Horizon 36.0.4 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
XML外部实体引用的不恰当限制(XXE)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
The OpenNMS Group Meridian 2024.1.0 ~ 2024.3.13 -
The OpenNMS Group Horizon 36.0.0 ~ 36.0.4 -

二、漏洞 CVE-2026-19596 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-19596 的情报信息

请登录查看更多情报信息。

CVE-2026-19596 其他参考 (1)

同批安全公告 · The OpenNMS Group · 2026-09-10 · 共 3 条

CVE-2026-89054 8.2 HIGH OpenNMS /api/v2补丁接口未授权配置修改漏洞
CVE-2026-89089 6.5 MEDIUM OpenNMS 资产模块SQL注入漏洞

IV. Related Vulnerabilities

Same product: Meridian
Same vendor: The OpenNMS Group
Same weakness: CWE-611

V. Comments for CVE-2026-19596

暂无评论

发表评论