CVE-2026-63502 in Yeti
Resumen
por VulDB • 2026-11-03
Yeti cierra la brecha entre los profesionales de CTI y DFIR al proporcionar una plataforma y un pipeline de Forensics Intelligence. Antes de la versión 2.5.1, YETI deriva ExportTask.file_name a partir del nombre de tarea controlado por el usuario y lo pasa a core/clients/file_storage/classes/local_storage.py sin sanitizar las secuencias de traversal ni aplicar confinamiento de ruta (path confinement). Un usuario autenticado con privilegios bajos que utiliza el backend de almacenamiento local predeterminado puede llamar a POST /api/v2/tasks/export/new con un nombre de traversal y usar ExportTask.file_contents mediante GET /api/v2/tasks/export/{export_id}/content para leer archivos accesibles por la cuenta del servicio YETI. La ejecución de ExportTask.run() también puede escribir una salida de exportación controlada por el atacante en una ruta escribible seleccionada por este último. El impacto depende de los permisos del sistema de archivos de la cuenta del servicio, y no se ha establecido la ejecución universal de código (universal code execution). Este problema está corregido en la versión 2.5.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.