CVE-2026-114625: Vulnerabilidade de Injeção SQL em Arista VeloCloud Orchestrator

De acordo com The Hacker News, a falha é rastreada como CVE-2026-114625 e classificada com 9,9 na escala CVSS.[2] A SecurityWeek diz que é descrita como uma injeção SQL remotamente explorável.[1]O aviso da Arista diz que "qualquer usuário autenticado pode obter privilégios de operador e se passar por um usuário 'operador superusuário' local."[3] O aviso também diz o papel de usuário mínimo necessário é Enterprise Read Only, o papel de locatário integrado mais baixo[3], e que "não há configuração que possa prevenir a exposição."[3]The Hacker News informa que a correção on-premises está em VCO 5.2.3.18, 6.1.3.10 e 6.4.2.12, enquanto os orquestradores Hosted e Dedicated já foram corrigidos.[2] A publicação acrescenta que os orquestradores que executam os lançamentos que corrigiram as falhas de julho e setembro ainda são afetados[2].De acordo com o mesmo relatório, VeloCloud Gateway e VeloCloud Edge não são afetados.[2] The Hacker News também observa que o aviso não diz quando os ataques começaram, quais orquestradores foram atingidos ou o que os atacantes fizeram após explorar a falha.[2]O site de desenvolvedores DEV Community relata que a Arista nomeia dois endereços vistos nos ataques: 74.82.197[.]86 e 38.54.50[.]151.[4]Safeguard diz que quando verificou o feed JSON KEV da CISA em 23 de outubro de 2026[5], o catálogo não contém CVE-2026-114625.[5]