CVE-2026-114625

9.4Critique Exploitée activement

Faits confirmés

Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.

VeloCloud Orchestrator (VCO) on-prem a un problème de sécurité où ce problème peut permettre à un attaquant à distance d'accéder à des fonctionnalités internes privilégiées et d'avoir un impact sur l'hôte VCO. Une exploitation réussie peut compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestreur et des données gérées par l'orchestreur. Sur un système affecté, tout utilisateur authentifié peut obtenir des privilèges d'opérateur et de masquerade en tant qu'utilisateur local "opérateur de superutilisateur". Cela inclut l'accès à des fonctionnalités destinées à une utilisation interne seulement et qui ne sont pas destinées à être accessibles à distance. Les versions hébergées, y compris dédiées, de VCO ont été touchées et ont déjà été corrigées.

Texte officiel (anglais)

VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible. Hosted, including Dedicated, versions of VCO were impacted and have already been patched.

Versions touchées

arista velocloud orchestrator à partir de 5.2.0, avant 5.2.3.18
arista velocloud orchestrator à partir de 6.1.0, avant 6.1.3.10
arista velocloud orchestrator à partir de 6.4.0, avant 6.4.2.12

Correctif et avis officiels

Statut NVD : Analyzed · CWE-89

Notre analyse automatique : en termes simples

Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.

Type d’erreur : Injection SQL

Une saisie est insérée telle quelle dans une requête à la base de données. Un attaquant peut ainsi lire ou modifier des données.

Comment elle s’exploite

Un attaquant peut l’exploiter à distance, par le réseau, avec un compte ordinaire, sans action de la victime. L’attaque est simple à réaliser.

Ce qu’un attaquant pourrait faire

lire des données confidentielles
modifier des données ou le système
rendre le service indisponible

Mini glossaire

CVE: Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS: Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE: Catégorie du type d’erreur à l’origine de la faille.
KEV: Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif: Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation: Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.

Articles liés

23 oct.14:00

CISA ajoute une vulnérabilité explicitée connue au catalogue

Le CISA a ajouté une nouvelle vulnérabilité à son catalogue de vulnérabilités explicitées connues (KEV), en se fondant sur des preuves d'exploitation active. CVE-2026-114625 Arista VeloCloud Orchestrator SQL Injection Vulnérabilité Ce type de vulnérabilité est un vecteur d'attaque fréquent pour les cyberacteurs malveillants et pose des risques importants pour l'entreprise fédérale. Directive opérationnelle contraignante (DBO) 26-04 : Établissement des priorités

CISA Advisories

CVE-2026-114625 Que dois-je faire ?

This product uses data from the NVD API but is not endorsed or certified by the NVD.