Arista VeloCloud Orchestrator: Schwachstelle ermöglicht SQL-Injection und potenziell Privilegieneskalation
WID-SEC-2026-4124 · primera publicación 23.10.2026 · actualizado 23.10.2026 · CVSS 9,9
De qué se trata
Der Arista VeloCloud Orchestrator (VCO) ist die zentrale Management-Plattform zur Konfiguration, Steuerung und Überwachung eines VeloCloud SD-WAN-Netzwerks. Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Arista VeloCloud Orchestrator ausnutzen, um einen SQL-Injection Angriff durchzuführen und potenziell um seine Privilegien zu erhöhen.
¿En qué condiciones?
A través de la red, pero solo con un acceso válido (requiere iniciar sesión), por ejemplo con credenciales robadas o desde dentro.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- einen SQL-Injection Angriff durchzuführen
- potenziell um seine Privilegien zu erhöhen
¿Me afecta?
Afectados según el BSI:
- Arista VeloCloud Orchestrator <5.2.3.18
- Arista VeloCloud Orchestrator <6.1.3.10
- Arista VeloCloud Orchestrator <6.4.2.12
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Arista VeloCloud Orchestrator 5.2.3.18
- Arista VeloCloud Orchestrator 6.1.3.10
- Arista VeloCloud Orchestrator 6.4.2.12
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
CVE: CVE-2026-114625
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.