CVE-2026-114625: Vulnerabilidad de Inyección SQL en Arista VeloCloud Orchestrator

Según The Hacker News, la falla se rastrea como CVE-2026-114625 y tiene una calificación de 9.9 en la escala CVSS.[2] SecurityWeek dice que se describe como una inyección SQL remotamente explotable.[1]El aviso de Arista dice que "cualquier usuario autenticado puede obtener privilegios de operador e suplantarse como un usuario local 'superuser operator'."[3] El aviso también dice el rol de usuario mínimo requerido es Enterprise Read Only, el rol de inquilino incorporado más bajo[3], y que "no hay configuración que pueda prevenir la exposición."[3]The Hacker News reporta que la corrección local está en VCO 5.2.3.18, 6.1.3.10 y 6.4.2.12, mientras que los orquestadores Hosted y Dedicated ya han sido parcheados.[2] El medio agrega que los orquestadores que ejecutan las versiones que corrigieron las fallas de julio y septiembre siguen siendo afectados[2].Según el mismo informe, VeloCloud Gateway y VeloCloud Edge no se ven afectados.[2] The Hacker News también señala que el aviso no dice cuándo comenzaron los ataques, qué orquestadores fueron afectados, o qué hicieron los atacantes después de explotar la falla.[2]El sitio para desarrolladores DEV Community reporta que Arista nombra dos direcciones vistas en los ataques: 74.82.197[.]86 y 38.54.50[.]151.[4]Safeguard dice que cuando verificó el feed JSON de KEV de CISA el 23 de octubre de 2026[5], el catálogo no contiene CVE-2026-114625.[5]