Arista advierte de cero-día en VeloCloud explotado por inyección

Arista advierte de cero-día en VeloCloud explotado por inyección SQL

oct. 22, 2026AJOSE19

Atacantes explotan un fallo de inyección SQL en el VeloCloud Orchestrator. El error permite acceso completo a operadores desde cuentas de solo lectura.

Por qué importa: El fallo permite acceso total desde cuentas de solo lectura

Lo esencial

Cualquier usuario con acceso puede obtener privilegios de operador
El fallo está en CVE-2026-114625 y tiene puntuación CVSS de 9.9
Versiones afectadas incluyen 5.2.3.18, 6.1.3.10 y 6.4.2.12

Arista advierte de cero-día en VeloCloud explotado por inyección SQL — Imagen de referencia: The Hacker News.

Fallo en el sistema de gestión de VeloCloud

El error afecta al VeloCloud Orchestrator, el núcleo de control para redes SD-WAN, y permite a atacantes acceder como superusuario desde cuentas básicas.

Soluciones y contexto técnico

Las versiones 5.2.3.18, 6.1.3.10 y 6.4.2.12 corrigieron el fallo; Arista adquirió VeloCloud en julio de 2025 tras su compra por Broadcom.

Arista advierte de cero-día en VeloCloud explotado por inyección SQL

Lo esencial

Fallo en el sistema de gestión de VeloCloud

Soluciones y contexto técnico

Deja un comentario

Artículos relacionados