CVE-2026-114625 : Vulnérabilité d'injection SQL dans Arista VeloCloud Orchestrator

Selon The Hacker News, la faille est répertoriée sous le numéro CVE-2026-114625 et évaluée à 9,9 sur l'échelle CVSS.[2] SecurityWeek indique qu'elle est décrite comme une injection SQL exploitable à distance.[1]L'avis d'Arista précise que « tout utilisateur authentifié peut obtenir les privilèges d'opérateur et usurper l'identité d'un utilisateur 'opérateur superutilisateur' local. »[3] L'avis ajoute également que le rôle utilisateur minimum requis est Enterprise Read Only, le rôle de locataire intégré le plus bas[3], et que « il n'existe aucune configuration pouvant prévenir cette exposition. »[3]The Hacker News rapporte que le correctif sur site est disponible dans VCO 5.2.3.18, 6.1.3.10 et 6.4.2.12, tandis que les orchestrateurs hébergés et dédiés ont déjà été corrigés.[2] Le média ajoute que les orchestrateurs exécutant les versions qui ont corrigé les flaws de juillet et septembre sont toujours affectés[2]. Selon le même rapport, VeloCloud Gateway et VeloCloud Edge ne sont pas affectés.[2] The Hacker News note également que l'avis ne précise pas quand les attaques ont commencé, quels orchestrateurs ont été ciblés, ou ce que les attaquants ont fait après avoir exploité la faille.[2]Le site DEV Community rapporte qu'Arista identifie deux adresses observées dans les attaques : 74.82.197[.]86 et 38.54.50[.]151.[4]Safeguard indique que lors de la consultation du flux JSON KEV de la CISA le 23 octobre 2026[5], le catalogue ne contient pas CVE-2026-114625.[5]