PT-2026-121506

CVE-2026-114625

تاريخ النشر

2026-10-22

تاريخ التحديث

2026-10-23

الوصف من

CVSS 3.1

9.9

حرجة

المقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

اسم البرنامج المصاب والإصدارات المتأثرة VeloCloud Orchestrator الإصدارات السابقة لـ 5.2.3.18 VeloCloud Orchestrator الإصدارات السابقة لـ 6.1.3.10 VeloCloud Orchestrator الإصدارات السابقة لـ 6.4.2.12

Description توجد ثغرة حقن SQL (SQL injection) تتطلب مصادقة في عمليات نشر VeloCloud Orchestrator (VCO) المحلية. تسمح هذه المشكلة لأي مستخدم مصادق عليه، بما في ذلك أولئك الذين لديهم أدنى دور مستأجر (Enterprise Read Only)، بتصعيد الامتيازات وانتحال صفة مشغل Superuser محلي. يتيح الاستغلال الناجح الوصول إلى وظائف داخلية مميزة غير مخصصة للوصول عن بُعد، مما قد يؤثر على سرية وسلامة وتوافر المنسق والبيانات التي يديرها. تم استغلال هذه الثغرة بنشاط في الواقع، حيث استخدمها المهاجمون للسيطرة الكاملة على مستوى إدارة SD-WAN، وتثبيت وجودهم عبر webshells، والتحرك عرضيًا نحو أجهزة Edge المدارة.

Recommendations تحديث VeloCloud Orchestrator إلى الإصدار 5.2.3.18 أو أحدث. تحديث VeloCloud Orchestrator إلى الإصدار 6.1.3.10 أو أحدث. تحديث VeloCloud Orchestrator إلى الإصدار 6.4.2.12 أو أحدث. قصر الوصول إلى واجهة مستخدم VCO على الشبكات الإدارية المصرح لها فقط. حظر حركة المرور من عناوين IP التالية: 74.82.197.86 و 38.54.50.151.

قابلية الاستغلال

إصلاح

التأثيرات

المورّدون

المنتجات المتأثرة

تصنيف نقاط الضعف

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

المعرّفات ذات الصلة

CVE-2026-114625

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾

dbugs@ptsecurity.com