CVE-2026-34491

ŚrednieCVSS 6.1

Opublikowano: 24/08/2026(UTC)Zaktualizowano: 25/08/2026(UTC)Przetłumaczono: 25/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W systemach Johnson Controls Metasys 14 i 15 występuje podatność na cross-site scripting (XSS) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji Metasys 14 przed 14.1.5 oraz Metasys 15 przed 15.0.1.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy skrypt do stron wyświetlanych innym użytkownikom, co może prowadzić do kradzieży sesji, przejęcia kont lub innych ataków w przeglądarce.

Rekomendacja

Zaleca się aktualizację systemów Metasys do wersji 14.1.5 lub nowszej (dla Metasys 14) oraz 15.0.1 lub nowszej (dla Metasys 15).

Inne podatności w Johnson Controls Metasys

CVE-2025-26385Krytyczne
Podatność na wstrzykiwanie poleceń w komponentach Johnson Controls Metasys, które są instalowane z SQL Express. Udane wykorzystanie tej podatności może pozwolić na zdalne wykonywanie zapytań SQL. Dotyczy to Metasys ADS, ADX, LCS8500/NAE8500, SCT i CCT w określonych wersjach.

Oryginalny opis (angielski, źródło NVD)

Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Johnson Controls Metasys 14 and Johnson Controls Metasys 15 allows Cross Site Scripting. This issue affects Metasys 14: before 14.1.5; Metasys 15: before 15.0.1.