CVE-2026-63489— Yeti 认证 AQL 注入漏洞
一分钟漏洞结论
影响对象
yeti-platform yeti
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Yeti 通过提供取证情报平台及数据流水线，弥合了威胁情报（CTI）与数字取证及事件响应（DFIR）从业者之间的鸿沟。在 2.5.0 及更早版本中，YETI 在 文件中，将用户可控的排序字段以及 属性路径直接内插（interpolate）到 ArangoDB 的 AQL 标识符和表达式位置。低权限的已认证用户可向以下接口发送特制参数： 、 、 、 、 或 ，从而导致攻击者控制的 AQL 子表达式被解析并执行。 该漏洞可能带来以下风险：提供错误信息反馈（error oracle）、针对内部集合（如用户集合）执行表达式
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| yeti-platform | yeti | <= 2.5.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-63489 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Yeti: Authenticated AQL injection via unvalidated search sorting and filter_aliases parameters
来源: CVE Program / CVE List V5
Vulnerability Description
Yeti bridges the gap between CTI and DFIR practitioners by providing a Forensics Intelligence platform and pipeline. In version 2.5.0 and earlier, YETI directly interpolates user-controlled sorting fields and filter_aliases attribute paths into ArangoDB AQL identifier and expression positions in core/database_arango.py. A low-privileged authenticated user can send crafted values to POST /api/v2/observables/search, POST /api/v2/entities/search, POST /api/v2/indicators/search, POST /api/v2/dfiq/search, POST /api/v2/search/, or POST /api/v2/graph/search, causing attacker-controlled AQL subexpressions to be parsed and evaluated. This can provide an error oracle, evaluate expressions against internal collections such as users, alter intended search logic, enumerate schema information, and consume excessive database resources. The verified injection points are read and search contexts, so arbitrary database writes are not established. No fixed version is available as of this review.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
数据查询逻辑中特殊元素的不当中和
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| yeti-platform | yeti | <= 2.5.0 | - |
|
二、漏洞 CVE-2026-63489 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-63489 的情报信息
请登录查看更多情报信息。
CVE-2026-63489 其他参考 (4)
-
https://github.com/yeti-platform/yeti/pull/1277 x_refsource_MISC
-
https://github.com/yeti-platform/yeti/releases/tag/2.5.1 x_refsource_MISC
-
https://github.com/yeti-platform/yeti/security/advisories/GHSA-vw33-fwfx-6m9p x_refsource_CONFIRM
同批安全公告 · yeti-platform · 2026-11-03 · 共 4 条
| CVE-2026-63502 | 8.3 HIGH | Yeti 认证后任意文件读写漏洞 |
| CVE-2026-63482 | 7.5 HIGH | Yeti 未认证访问审计时间线泄露威胁情报数据 |
| CVE-2026-63500 | 7.1 HIGH | Yeti DFIQ uuid 路径遍历漏洞 |