Johnson Controls Metasys Cross-Site Scripting Vulnerability (CVE-2026-34491)
A security vulnerability in Johnson Controls Metasys building management software allows attackers to inject malicious code into the web interface. This could lead to unauthorized access or session hijacking when accessed by other users, including administrators.
English Brief
A security vulnerability in Johnson Controls Metasys building management software allows attackers to inject malicious code into the web interface. This could lead to unauthorized access or session hijacking when accessed by other users, including administrators.
الموجز العربي
ثغرة البرمجة عبر المواقع (XSS) في نظام Johnson Controls Metasys (CVE-2026-34491)
تم اكتشاف ثغرة أمنية في برنامج إدارة المباني Johnson Controls Metasys تتيح للمهاجمين حقن تعليمات برمجية ضارة في واجهة الويب، مما قد يؤدي إلى وصول غير مصرح به أو اختطاف جلسات المستخدمين، بما في ذلك المسؤولين.
- 1Update Metasys to version 16.0 or latest available patch (15.0.1 / 14.1.5).
- 2Restrict UI access to trusted IP ranges only via firewall rules.
- 3Enable HTTP Security Headers including CSP (Content Security Policy).
English Advisory
// Intelligence Summary
CVE-2026-34491 identifies a Cross-Site Scripting (XSS) vulnerability affecting multiple versions of Johnson Controls Metasys. A low-privilege attacker can execute arbitrary scripts within the context of other users' sessions, including administrative accounts, by leveraging a crafted URL.
التقرير العربي
// ملخص الاستخبارات
تحدد الثغرة CVE-2026-34491 وجود خلل في البرمجة عبر المواقع (XSS) يؤثر على إصدارات متعددة من نظام Johnson Controls Metasys. يمكن لمهاجم يتمتع بامتيازات منخفضة تنفيذ برامج نصية ضارة ضمن سياق جلسات مستخدمين آخرين، بما في ذلك حسابات المسؤولين، عن طريق استخدام رابط مُصمم خصيصاً.
// Technical Context
The flaw exists due to improper input neutralization during web page generation. The malicious payload is persistent within the Metasys UI. When a victim views the affected component, the browser executes the injected script, potentially leading to unauthorized actions performed on behalf of the victim.
// السياق التقني
يحدث هذا الخلل بسبب عدم كفاية تحييد المدخلات أثناء توليد صفحات الويب. تظل الحمولة الضارة نشطة داخل واجهة مستخدم Metasys؛ فعندما يقوم الضحية بعرض المكون المتأثر، يقوم المتصفح بتنفيذ البرنامج النصي المحقون، مما قد يؤدي إلى تنفيذ إجراءات غير مصرح بها نيابة عن الضحية.
// Exposure Notes
Affected versions include Metasys 12 and 13 (all versions), and versions of 14 and 15 preceding current patches (specifically <14.1.5 and <15.0.1). Metasys 16.0 and versions prior to 12 are not impacted.
// ملاحظات التعرض
تشمل الإصدارات المتأثرة Metasys 12 و13 (جميع الإصدارات)، وإصدارات 14 و15 السابقة للتحديثات الحالية (تحديداً الأقدم من 14.1.5 و15.0.1). نظام Metasys 16.0 والإصدارات الأقدم من 12 غير متأثرة.
// Defensive Priority
Organizations must prioritize patching affected systems. If patching is not immediately feasible, restrict network access to the Metasys UI, implement rigorous network segmentation, and enforce Content Security Policy (CSP) headers to mitigate script execution.
// الأولوية الدفاعية
يجب على المؤسسات إعطاء الأولوية لتصحيح الأنظمة المتأثرة. إذا لم يكن الترقيع ممكناً على الفور، يجب تقييد الوصول إلى شبكة واجهة مستخدم Metasys، وتنفيذ تقسيم صارم للشبكة، وفرض سياسات أمان المحتوى (CSP) للحد من تنفيذ البرامج النصية.
Mitigation Checklist
- 1Update Metasys to version 16.0 or latest available patch (15.0.1 / 14.1.5).
- 2Restrict UI access to trusted IP ranges only via firewall rules.
- 3Enable HTTP Security Headers including CSP (Content Security Policy).
- 4Configure WAF to block common XSS patterns in URL parameters.
- 5Audit user permissions to ensure least privilege access.
قائمة إجراءات التخفيف
- 1تحديث نظام Metasys إلى الإصدار 16.0 أو أحدث تصحيح متاح (15.0.1 / 14.1.5).
- 2تقييد الوصول إلى واجهة المستخدم لنطاقات عناوين IP الموثوقة فقط عبر قواعد جدار الحماية.
- 3تفعيل رؤوس أمان HTTP بما في ذلك سياسة أمان المحتوى (CSP).
- 4تكوين جدار حماية تطبيقات الويب (WAF) لحظر أنماط XSS الشائعة في معلمات عناوين URL.
- 5تدقيق أذونات المستخدم لضمان تطبيق مبدأ الامتياز الأقل.
- Monitor Metasys UI logs for unusual URL patterns or unauthorized script execution
# Remediation Checklist for Metasys XSS Vulnerability:
# 1. Update Metasys to version 16.0 or latest available patch (15.0.1 / 14.1.5).
# 2. Restrict UI access to trusted IP ranges only via firewall rules.
# 3. Enable HTTP Security Headers including CSP (Content Security Policy).
# 4. Configure WAF to block common XSS patterns in URL parameters.
# 5. Audit user permissions to ensure least privilege access.