Inyección SQL en VeloCloud Orchestrator de Arista

Fecha de publicación 26/10/2026

Identificador

INCIBE-2026-786

Importancia

5 - Crítica

Recursos Afectados

VeloCloud Orchestrator On-Prem:

Rama 5.2.x: versiones anteriores a 5.2.3.18.
Rama 6.1.x: versiones anteriores a 6.1.3.10.
Rama 6.4.x: versiones anteriores a 6.4.2.12.

Las versiones fuera de soporte no han sido evaluadas. Las instancias alojadas, incluidas las dedicadas, ya están corregidas.

Descripción

Arista ha publicado una vulnerabilidad de severidad crítica que permite a usuarios autenticados obtener privilegios de operador en VeloCloud Orchestrator. El fabricante ha confirmado su explotación activa.

Solución

Actualizar a 5.2.3.18, 6.1.3.10 o 6.4.2.12, o versiones posteriores de la rama correspondiente.

Mientras se actualiza, restringir la administración a redes de confianza y revisar los registros de actividad.

Detalle

CVE-2026-114625: una inyección SQL permite suplantar a un superuser operator y acceder a funciones internas restringidas. Requiere una sesión válida; basta el rol Enterprise Read Only.

CVE