CVE-2026-63502 in Yeti
الملخص
بحسب VulDB • 03/11/2026
يُسدّ Yeti الفجوة بين ممارسي استخبارات التهديدات السيبرانية (CTI) وممارسي التحقيق الرقمي واستعادة الأدلة الرقمية (DFIR) من خلال توفير منصة وأنابيب لعمليات الاستخبارات الجنائية. قبل الإصدار 2.5.1، كان YETI يستخرج قيمة ExportTask.file_name من اسم المهمة الذي يتحكم فيه المستخدم وينقلها إلى core/clients/file_storage/classes/local_storage.py دون تطهير تسلسلات التصفح (traversal sequences) أو فرض حصر المسار (path confinement). يمكن لمستخدم مُصادق عليه ذو امتيازات منخفضة، باستخدام الخلفية التخزينية المحلية الافتراضية، استدعاء POST /api/v2/tasks/export/new باسم تصفح محدد، واستخدام ExportTask.file_contents عبر GET /api/v2/tasks/export/{export_id}/content لقراءة الملفات المتاحة لحساب خدمة YETI. يمكن أيضاً لـ Running ExportTask.run() كتابة مخرجات التصدير التي يتحكم فيها المهاجم في مسار قابل للكتابة يختاره المهاجم. تعتمد الأثر على أذونات نظام الملفات الخاصة بحساب الخدمة، ولم يتم إثبات إمكانية تنفيذ الكود بشكل عام (universal code execution). تم إصلاح هذه المشكلة في الإصدار 2.5.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.