Probo: Cross-Tenant-Autorisierungsumgehung legt Risikodaten anderer Organisationen offen
Zusammenfassung
Probo ist eine selbst betreibbare Plattform für Governance, Risiko und Compliance (GRC). In Versionen vor 0.223.1 kann ein authentifiziertes Mitglied einer Organisation ein Risiko einer anderen Organisation einem eigenen Finding zuordnen und anschliessend Name, Beschreibung, Behandlung, Kategorie, Schweregrad und Verantwortliche des Risikos lesen. Die gespeicherte Referenz verhindert zudem, dass die andere Organisation das eigene Risiko löschen kann.
Betroffen
- Probo (getprobo) Versionen vor 0.223.1
- Betroffene Komponente: GraphQL-API der Konsole, Resolver Finding.risk
Behoben in
- Behoben in 0.223.1 (Release probod/v0.223.1, 2026-07-03)
- Auf 0.224.0 oder neuer aktualisieren, was zudem CVE-2026-76080 und CVE-2026-76079 behebt
Umgehung
- Unbekannt.
- Übergangsmassnahmen: Zugriff auf Konsole und API auf bekannte Benutzer beschränken, Konten von Personen ausserhalb der Organisation entfernen und die Instanz bis zur Aktualisierung hinter VPN oder SSO betreiben.
Ausnutzung
- Auf Exploit-DB ist ein öffentlicher Proof of Concept gelistet (EDB-52650). Der Autor beschreibt ihn als lokales Testwerkzeug.
- Keine Hinweise auf Ausnutzung in freier Wildbahn; die CVE ist nicht im CISA-KEV-Katalog gelistet.
Unsere Empfehlung
- Auf 0.224.0 oder neuer aktualisieren.
- Prüfen, ob Findings Risiken anderer Organisationen referenzieren.
- Probo-Logs auf ungewöhnliche GraphQL-Abfragen zu Risikoobjekten prüfen.
- Zugriff auf die Konsole auf bekannte Benutzer beschränken und die Instanz wo möglich vom öffentlichen Internet fernhalten.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Exploit-DB EDB-ID 52650 17.08.2026
Quellen der Recherche
- CVE Record CVE-2026-63505 www.cve.org
- GitHub Security Advisory GHSA-c74x-79w6-63jh github.com
- Release probod/v0.223.1 github.com
- Fix commit d03f607 github.com
- Exploit-DB 52650 www.exploit-db.com
- VulDB 435929 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.