ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يوفر Yeti منصة وخط أنابيب لاستخبارات الأدلة الجنائية. في الإصدار 2.5.0 والإصدارات السابقة، يقوم YETI بشكل مباشر بإدراج حقول الفرز التي يتحكم بها المستخدم ومسارات سمات filter_aliases في مواضع معرفات وتعبيرات ArangoDB AQL داخل ملف core/database_arango.py. يمكن لمهاجم يملك حسابًا مصادقًا عليه بصلاحيات منخفضة إرسال قيم مصممة خصيصاً إلى POST /api/v2/observables/search، أو POST /api/v2/entities/search، أو POST /api/v2/indicators/search، أو POST /api/v2/dfiq/search، أو POST /api/v2/search/، أو POST /api/v2/graph/search، مما يتسبب في تحليل وتقييم تعبيرات AQL الفرعية التي يتحكم بها المهاجم. قد يوفر هذا آراء أخطاء، أو يقيّم تعبيرات مقابل مجموعات داخلية مثل المستخدمين، أو يغير منطق البحث المقصود، أو يسرد معلومات مخطط قاعدة البيانات، أو يستهلك موارد مفرطة في قاعدة البيانات. نقاط الحقن التي تم التحقق منها تقع في سياقات القراءة والبحث، لذا لا توجد عمليات كتابة عشوائية في قاعدة البيانات. لا يتوفر إصدار مُصحَّح وقت إجراء هذه المراجعة.