CVE-2026-49820 in Probo
Zusammenfassung
von VulDB • 14.08.2026
Probo ist eine selbst gehostete Governance-, Risiko- und Compliance-(GRC)-Plattform, die für Engineering- und Sicherheitsteams entwickelt wurde. Das Paket `saferedirect` von Probo validiert Umleitungs-URLs (Redirect URLs), die in verschiedenen Authentifizierungsflüssen verwendet werden (OIDC, SAML, Sitzungsübertragung, OAuth-Konnektoren und Magic Links im Trust-Center). Vor Version 0.19.3.1 untersuchte der Validator nur das zweite Zeichen von relativen Pfaden; daher wurde eine URL wie `/../\evil.com` als gültig akzeptiert, da das zweite Zeichen ein `.` ist. Go's `http.Redirect` normalisiert diesen Pfad zu `/\evil.com`, bevor er den `Location`-Header festlegt. Browser können den Backslash als Host-Trennzeichen interpretieren und den Benutzer auf eine externe Domain (`https://evil.com`) umleiten, wodurch die beabsichtigte Same-Origin-Einschränkung umgangen wird. Dies ermöglicht Open-Redirect-Phishing: Ein Angreifer kann einen `continue`-Parameter (oder eine bösartige URL in einem Sitzungsübertragungstoken) so gestalten, dass er von einer vertrauenswürdigen Probo-Domain zu stammen scheint, die Opfer jedoch anderweitig umleitet. Dies wurde in `go.probo.inc/probo` Version 0.193.1 behoben, indem relative Pfade vor der Validierung mit `path.Clean` normalisiert werden, Backslashes (einschließlich percent-codierter `%5c`) im gesamten Pfad abgelehnt werden und das normalisierte Ergebnis erneut auf protocol-relative Präfixe sowie Backslash-Präfixe überprüft wird. Selbst gehostete Bereitstellungen sollten auf probod v0.194.1 oder höher aktualisiert werden. SaaS-Bereitstellungen unter getprobo.com sind gepatcht. Für selbst gehostete Installationen ist kein praktischer Workaround verfügbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.