CVE-2026-49820
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Probo, pakiet `saferedirect` nieprawidłowo walidował adresy URL przekierowań, sprawdzając tylko drugi znak ścieżek względnych. URL taki jak `/../\evil.com` przechodził walidację, a przeglądarki mogły interpretować backslash jako separator hosta, co umożliwiało przekierowanie użytkownika na zewnętrzną domenę. Luka umożliwia ataki typu open redirect i phishing.
Ocena ryzyka
Ryzyko phishingu i przekierowań użytkowników na złośliwe strony, co może prowadzić do kradzieży danych uwierzytelniających lub instalacji złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację do wersji probod v0.194.1 lub nowszej (dla samodzielnych instalacji) lub skorzystanie z załatanej wersji SaaS. Brak praktycznego obejścia dla instalacji samodzielnych.
Oryginalny opis (angielski, źródło NVD)
Probo is a self-hostable governance, risk, and compliance (GRC) platform built for engineering and security teams. Probo's `saferedirect` package validates redirect URLs used across authentication flows (OIDC, SAML, session transfer, OAuth connectors, and trust-center magic links). Prior to version 0.19.3.1, the validator only inspected the second character of relative paths, so a URL like `/../\evil.com` passed validation because the second character is `.`. Go's `http.Redirect` normalizes this path to `/\evil.com` before setting the `Location` header. Browsers can interpret the backslash as a host separator and redirect the user to an external domain (`https://evil.com`), bypassing the intended same-origin restriction. This enables open-redirect phishing: an attacker can craft a `continue` parameter (or embed a malicious URL in a session-transfer token) that appears to originate from a trusted Probo domain but redirects victims elsewhere. This is fixed in `go.probo.inc/probo` 0.193.1 by normalizing relative paths with `path.Clean` before validation, rejecting backslashes (including percent-encoded `%5c`) anywhere in the path, and re-checking the normalized result for protocol-relative and backslash prefixes. Self-hosted deployments should upgrade to probod v0.194.1 or later. SaaS deployments on getprobo.com are patched. No practical workaround is available for self-hosted installations.