PT-2026-136372
CVE-2026-63489
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
7.6
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Yeti الإصدارات السابقة لـ 2.5.1
الوصف
توجد مشكلة حيث يتم إدراج حقول الفرز التي يتحكم فيها المستخدم ومسارات سمات
filter aliases مباشرة في مواضع معرفات وتعبيرات ArangoDB AQL ضمن core/database arango.py. يمكن لمستخدم مصرح له بصلاحيات منخفضة استغلال ذلك عن طريق إرسال قيم مصممة إلى نقاط نهاية API التالية:- '/api/v2/observables/search'
- '/api/v2/entities/search'
- '/api/v2/indicators/search'
- '/api/v2/dfiq/search'
- '/api/v2/search/'
- '/api/v2/graph/search'
يسمح هذا بتحليل وتقييم تعبيرات AQL الفرعية التي يتحكم فيها المهاجم، مما قد يؤدي إلى استخدام أوراكل أخطاء (error oracle)، وتقييم التعبيرات مقابل المجموعات الداخلية مثل المستخدمين، وتغيير منطق البحث المقصود، وتعداد معلومات المخطط (schema)، واستهلاك موارد قاعدة البيانات بشكل مفرط. تقتصر هذه المشكلة على سياقات القراءة والبحث، لذا لا يمكن إجراء عمليات كتابة عشوائية في قاعدة البيانات.
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾