Arista: SQL-инъекция в VeloCloud Orchestrator даёт права оператора из read-only сессии

Arista выпустила Security Advisory 0199 для CVE-2026-114625 — SQL-инъекции в VeloCloud Orchestrator с оценкой 9,9 по CVSS 3.1, которая, по данным вендора, уже активно эксплуатируется. Любой аутентифицированный пользователь с минимальной ролью Enterprise Read Only может получить права оператора и выдать себя за локального суперпользователя. Исправления вышли в VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12.

• CVE-2026-114625: CVSS 3.1 — 9,9, CVSS 4.0 — 9,4, класс CWE-89
• Для атаки нужна лишь сессия с ролью Enterprise Read Only
• Патчи: VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12
• Arista: веб-интерфейс открыт по умолчанию, настройки не закрывают уязвимость