CVE-2026-114625: Уязвимость SQL Injection в Arista VeloCloud Orchestrator

По данным The Hacker News, уязвимость отслеживается как CVE-2026-114625 и имеет оценку 9,9 по шкале CVSS.[2] SecurityWeek указывает, что это описывается как удаленно эксплуатируемая SQL injection.[1]Согласно консультации Arista, "любой аутентифицированный пользователь может получить привилегии оператора и выдавать себя за локального пользователя 'superuser operator'."[3] Консультация также указывает, что минимальная требуемая роль пользователя - Enterprise Read Only, самая низкая встроенная роль тенанта[3], и что "не существует конфигурации, которая может предотвратить уязвимость."[3]The Hacker News сообщает, что исправление для локальной установки находится в VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12, в то время как размещенные и выделенные оркестраторы уже были исправлены.[2] Издание добавляет, что оркестраторы, работающие на релизах, которые исправили уязвимости июля и сентября, остаются уязвимыми[2].По данным того же отчета, VeloCloud Gateway и VeloCloud Edge не подвержены уязвимости.[2] The Hacker News также отмечает, что консультация не указывает, когда началась атака, какие оркестраторы были затронуты или что делали злоумышленники после эксплуатации уязвимости.[2]Сайт разработчиков DEV Community сообщает, что Arista назвала два адреса, замеченных в атаках: 74.82.197[.]86 и 38.54.50[.]151.[4]Safeguard сообщает, что когда он проверил JSON feed CISA KEV на 23 октября 2026[5], каталог не содержит CVE-2026-114625.[5]