Vulnerabilidad en Metasys de Johnson Controls (CVE-2025-26385)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-77
Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
30/01/2026
Última modificación:
15/04/2026
Descripción
El componente Metasys de Johnson Controls que se enumera a continuación tiene una vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando (inyección de comandos). La explotación exitosa de esta vulnerabilidad podría permitir la ejecución remota de SQL. Este problema afecta a<br />
<br />
* Metasys: Servidor de Aplicaciones y Datos (ADS) instalado con SQL Express implementado como parte de la instalación de Metasys 14.1 y anteriores,<br />
* Servidor de Aplicaciones y Datos Extendido (ADX) instalado con SQL Express implementado como parte de la instalación de Metasys 14.1,<br />
* LCS8500 o NAE8500 instalado con SQL Express implementado como parte de la instalación de Metasys Versiones 12.0 a 14.1,<br />
* Herramienta de Configuración del Sistema (SCT) instalado con SQL Express implementado como parte de la instalación de SCT 17.1 y anteriores,<br />
* Herramienta de Configuración del Controlador (CCT) instalado con SQL Express implementado como parte de la instalación de CCT 17.0 y anteriores.
Impacto
Puntuación base 4.0
9.50
Gravedad 4.0
CRÍTICA