CVE-2026-63500

Nome do Software Vulnerável e Versões Afetadas Yeti versões anteriores a 2.5.1

Description Um usuário autenticado com baixos privilégios pode explorar um problema de traversal de caminho ao importar um objeto DFIQ com um uuid contendo sequências de traversal através do endpoint 'POST /api/v2/dfiq/from yaml'. O sistema subsequentemente interpola esse valor armazenado em um caminho de sistema de arquivos de arquivo através do endpoint 'POST /api/v2/dfiq/to archive'. Isso permite que um invasor escreva conteúdo controlado com um sufixo .yaml fora do diretório de arquivo temporário pretendido, limitado aos caminhos graváveis pela conta de serviço YETI.

Recommendations Atualizar para a versão 2.5.1.