CVE-2026-63489
WysokieCVSS 7.6Streszczenie
W Yeti w wersji 2.5.0 i wcześniejszych pola sortowania oraz ścieżki atrybutów filter_aliases kontrolowane przez użytkownika są wstawiane do identyfikatorów i wyrażeń AQL w ArangoDB w core/database_arango.py. Uwierzytelniony użytkownik o niskich uprawnieniach może wysłać spreparowane wartości do endpointów wyszukiwania, powodując parsowanie i ewaluację podwyrażeń AQL.
Ocena ryzyka
Możliwe jest ujawnianie informacji o schemacie, odpytywanie wewnętrznych kolekcji (np. users), zmiana logiki wyszukiwania oraz nadmierne zużycie zasobów bazy danych. Nie potwierdzono możliwości dowolnego zapisu do bazy.
Rekomendacja
Brak dostępnej poprawki — wdróż dodatkowe kontrole wejścia i ogranicz dostęp do endpointów wyszukiwania do zaufanych użytkowników. Monitoruj nietypowe zapytania i zużycie zasobów bazy ArangoDB.
Inne podatności w Yeti
Zobacz wszystkie- CVE-2026-63502Wysokie
YETI to platforma Forensics Intelligence. Przed wersją 2.5.1 YETI wylicza ExportTask.file_name z nazwy zadania kontrolowanej przez użytkownika i przekazuje ją do local_storage.py bez oczyszczania sekwencji przejścia katalogów ani wymuszania ograniczenia ścieżki. Użytkownik uwierzytelniony z niskimi uprawnieniami korzystający z domyślnego lokalnego backendu pamięci może wywołać POST /api/v2/tasks/export/new z nazwą zawierającą przejście katalogów i odczytać pliki dostępne dla konta usługi YETI.
- CVE-2026-63500Wysokie
W platformie Yeti (wersje przed 2.5.1) pole uuid z pliku DFIQ YAML nie jest walidowane przy imporcie przez POST /api/v2/dfiq/from_yaml, a następnie jest wstawiane do ścieżki systemu plików przy eksporcie archiwum przez POST /api/v2/dfiq/to_archive. Użytkownik z niskimi uprawnieniami może zaimportować obiekt DFIQ z sekwencjami przejścia katalogów w UUID i wywołać eksport archiwum, co pozwala zapisać treść z rozszerzeniem .yaml poza docelowym katalogiem tymczasowym.
- CVE-2026-63482Wysokie
W Yeti przed wersją 2.5.1 router audytu jest rejestrowany bez zależności Depends(auth.get_current_active_user), a core/web/apiv2/audit.py nie sprawdza uwierzytelnienia dla /api/v2/audit/timeline/{id}. Nieuwierzytelniony atakujący może odpytywać rekordy TimelineLog zawierające nazwy użytkowników analityków, identyfikatory obiektów, wartości oraz dane przed i po zmianie.
- CVE-2026-92783Wysokie
Yeti do wersji 2.11.0 nie waliduje uprawnień wywołującego w punkcie końcowym DELETE /api/v2/rbac/{id}, umożliwiając użytkownikom z dostępem do odczytu usuwanie relacji kontroli dostępu. Atakujący mogą odebrać uprawnienia właścicielowi i trwale zablokować legalnym właścicielom dostęp do obiektów.
Oryginalny opis (angielski, źródło NVD)
Yeti bridges the gap between CTI and DFIR practitioners by providing a Forensics Intelligence platform and pipeline. In version 2.5.0 and earlier, YETI directly interpolates user-controlled sorting fields and filter_aliases attribute paths into ArangoDB AQL identifier and expression positions in core/database_arango.py. A low-privileged authenticated user can send crafted values to POST /api/v2/observables/search, POST /api/v2/entities/search, POST /api/v2/indicators/search, POST /api/v2/dfiq/search, POST /api/v2/search/, or POST /api/v2/graph/search, causing attacker-controlled AQL subexpressions to be parsed and evaluated. This can provide an error oracle, evaluate expressions against internal collections such as users, alter intended search logic, enumerate schema information, and consume excessive database resources. The verified injection points are read and search contexts, so arbitrary database writes are not established. No fixed version is available as of this review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS