CVE-2026-63502 in Yeti
Zusammenfassung
von VulDB • 03.11.2026
Yeti schließt die Lücke zwischen CTI- und DFIR-Anwendern, indem es eine Forensics Intelligence-Plattform und Pipeline bereitstellt. Vor Version 2.5.1 leitet YETI den Parameter ExportTask.file_name aus dem benutzerkontrollierten Task-Namen ab und übergibt ihn an core/clients/file_storage/classes/local_storage.py, ohne Pfadtransversal-Sequenzen zu bereinigen oder die Pfadeinschränkung (Path Confinement) durchzusetzen. Ein authentifizierter Benutzer mit niedrigen Berechtigungen kann das Standard-Backend für lokalen Speicher verwenden und POST /api/v2/tasks/export/new mit einem Transversal-Namen aufrufen sowie ExportTask.file_contents über GET /api/v2/tasks/export/{export_id}/content nutzen, um Dateien zu lesen, die dem YETI-Dienstkonto zugänglich sind. Das Ausführen von ExportTask.run() kann zudem vom Angreifer kontrollierte Exportausgaben in einen vom Angreifer ausgewählten beschreibbaren Pfad schreiben. Die Auswirkungen hängen von den Dateisystemberechtigungen des Dienstkontos ab; eine universelle Code-Ausführung ist nicht bestätigt. Dieses Problem wurde in Version 2.5.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.