CVE-2026-63502 in Yeti
Сводка
по VulDB • 03.11.2026
Yeti устраняет разрыв между специалистами по CTI и DFIR, предоставляя платформу Forensics Intelligence и конвейер обработки данных. До версии 2.5.1 YETI формирует значение ExportTask.file_name на основе имени задачи, контролируемого пользователем, и передает его в core/clients/file_storage/classes/local_storage.py без санитизации последовательностей обхода каталогов (path traversal) или обеспечения ограничения пути (path confinement). Аутентифицированный пользователь с низкими привилегиями, использующий бэкенд локального хранилища по умолчанию, может вызвать POST /api/v2/tasks/export/new с именем задачи для обхода каталогов и использовать ExportTask.file_contents через GET /api/v2/tasks/export/{export_id}/content для чтения файлов, доступных учетной записи сервиса YETI. Вызов метода ExportTask.run() также позволяет записать вывод экспорта, контролируемый злоумышленником, в выбранное им пути с правами на запись. Влияние зависит от прав файловой системы учетной записи сервиса; универсальное выполнение кода (RCE) не подтверждено. Эта проблема исправлена в версии 2.5.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.