CVE-2026-63500 in Yeti
Sumário
de VulDB • 04/11/2026
O Yeti preenche a lacuna entre profissionais de CTI e DFIR ao fornecer uma plataforma e pipeline de Forensics Intelligence. Antes da versão 2.5.1, o arquivo core/schemas/dfiq.py aceita um uuid não validado do YAML DFIQ através do endpoint POST /api/v2/dfiq/from_yaml, e o core/web/apiv2/dfiq.py posteriormente interpola esse valor armazenado em um caminho de sistema de arquivos para arquivamento no POST /api/v2/dfiq/to_archive. Um usuário autenticado com privilégios baixos pode importar um objeto DFIQ cujo UUID contenha sequências de traversal e acionar a exportação do arquivo, fazendo com que conteúdo controlado pelo atacante com sufixo .yaml seja gravado fora do diretório temporário de arquivamento pretendido. O impacto é limitado pelos caminhos graváveis pela conta de serviço YETI, e o candidato separado à vulnerabilidade zip-slip na importação de arquivos DFIQ não faz parte desta falha. Este problema foi corrigido na versão 2.5.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.