CVE-2026-114625: Вразливість SQL Injection в Arista VeloCloud Orchestrator

За даними The Hacker News, вразливість відслідковується як CVE-2026-114625 та має рейтинг 9,9 за шкалою CVSS.[2] SecurityWeek говорить, що її описано як дистанційно експлуатовану SQL injection.[1]Порадник Arista говорить, що "будь-який аутентифікований користувач може отримати привілеї оператора та видавати себе за локального користувача 'superuser operator'."[3] Порадник також говорить, що мінімальна роль користувача, необхідна, це Enterprise Read Only, найнижча вбудована роль тенанта[3], і що "не існує конфігурації, яка може запобігти цьому виявленню."[3]The Hacker News повідомляє, що локальний патч доступний у VCO 5.2.3.18, 6.1.3.10 та 6.4.2.12, тоді як Hosted та Dedicated оркестратори вже патчовані.[2] Видання додає, що оркестратори, на яких запущені версії, які виправили вразливості за липень та вересень, все ще вразливі[2].За тим же повідомленням, VeloCloud Gateway та VeloCloud Edge не вразливі.[2] The Hacker News також зазначає, що порадник не говорить, коли почалися атаки, які оркестратори були скомпрометовані, або що роблювали зловмисники після експлуатації вразливості.[2]DEV Community повідомляє, що Arista називає дві адреси, виявлені в атаках: 74.82.197[.]86 та 38.54.50[.]151.[4]Safeguard говорить, що коли вона перевіряла JSON канал KEV CISA 23 жовтня 2026[5], каталог не містить CVE-2026-114625.[5]