ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يوفر Yeti منصة وخط أنابيب لاستخبارات الأدلة الجنائية. قبل الإصدار 2.5.1، يُسجِّل نظام YETI موجه المراجعة (audit router) دون استخدام Depends(auth.get_current_active_user)، كما أن ملف core/web/apiv2/audit.py لا يُجري فحصاً للمصادقة على مستوى المسار لـ /api/v2/audit/timeline/{id}. يمكن لمهاجم شبكي دون مصادقة استخدام مسار فارغ أو جزئي أو يحوي محرف بدل (wildcard) للاستعلام عن سجلات TimelineLog التي تحتوي على حقول الجهة الفاعلة (actor) وtarget_id وaction والتفاصيل، بما في ذلك أسماء مستخدمي المحللين ومعرفات الكائنات وقيمها وبيانات الكائنات قبل وبعد التعديل. يؤدي هذا إلى كشف السجل التشغيلي لكائنات استخبارات التهديدات بينما تتطلب موجهات التطبيق الأخرى المصادقة. تم إصلاح هذه المشكلة في الإصدار 2.5.1.