CVE-2025-26385

Krytyczne

Opublikowano: 30/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Podatność na wstrzykiwanie poleceń w komponentach Johnson Controls Metasys, które są instalowane z SQL Express. Udane wykorzystanie tej podatności może pozwolić na zdalne wykonywanie zapytań SQL. Dotyczy to Metasys ADS, ADX, LCS8500/NAE8500, SCT i CCT w określonych wersjach.

Ocena ryzyka

Atakujący może zdalnie wykonywać zapytania SQL, co może prowadzić do naruszenia poufności, integralności i dostępności danych w systemach automatyki budynkowej.

Rekomendacja

Zaleca się zaktualizowanie wszystkich dotkniętych komponentów Metasys do najnowszych wersji, które zawierają poprawki zabezpieczeń. Należy również ograniczyć dostęp sieciowy do tych systemów.

Inne podatności w Johnson Controls Metasys

CVE-2026-34491Średnie
W systemach Johnson Controls Metasys 14 i 15 występuje podatność na cross-site scripting (XSS) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji Metasys 14 przed 14.1.5 oraz Metasys 15 przed 15.0.1.

Oryginalny opis (angielski, źródło NVD)

Johnson Controls Metasys component listed below have Improper Neutralization of Special Elements used in a Command (Command Injection) Vulnerability . Successful exploitation of this vulnerability could allow remote SQL execution This issue affects * Metasys: Application and Data Server (ADS) installed with SQL Express deployed as part of the Metasys 14.1 and prior installation, * Extended Application and Data Server (ADX) installed with SQL Express deployed as part of the Metasys 14.1 installation, * LCS8500 or NAE8500 installed with SQL Express deployed as part of the Metasys installation Releases 12.0 through 14.1, * System Configuration Tool (SCT) installed with SQL Express deployed as part of the SCT installation 17.1 and prior, * Controller Configuration Tool (CCT) installed with SQL Express deployed as part of the CCT installation 17.0 and prior.