CVE-2026-49820
Probo has an open redirect bypass via path normalization
Description
Probo is a self-hostable governance, risk, and compliance (GRC) platform built for engineering and security teams. Probo's `saferedirect` package validates redirect URLs used across authentication flows (OIDC, SAML, session transfer, OAuth connectors, and trust-center magic links). Prior to version 0.19.3.1, the validator only inspected the second character of relative paths, so a URL like `/../\evil.com` passed validation because the second character is `.`. Go's `http.Redirect` normalizes this path to `/\evil.com` before setting the `Location` header. Browsers can interpret the backslash as a host separator and redirect the user to an external domain (`https://evil.com`), bypassing the intended same-origin restriction. This enables open-redirect phishing: an attacker can craft a `continue` parameter (or embed a malicious URL in a session-transfer token) that appears to originate from a trusted Probo domain but redirects victims elsewhere. This is fixed in `go.probo.inc/probo` 0.193.1 by normalizing relative paths with `path.Clean` before validation, rejecting backslashes (including percent-encoded `%5c`) anywhere in the path, and re-checking the normalized result for protocol-relative and backslash prefixes. Self-hosted deployments should upgrade to probod v0.194.1 or later. SaaS deployments on getprobo.com are patched. No practical workaround is available for self-hosted installations.
INFO
Published Date :
Aug. 13, 2026, 3:19 p.m.
Last Modified :
Oct. 24, 2026, 4:10 p.m.
Remotely Exploit :
Yes !
Source :
[email protected]
CVSS Scores
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS | 134c704f-9b21-4f2e-91b3-4a467353bcc0 | |||||
| CVSS 3.1 | MEDIUM | [email protected] | ||||
| CVSS 3.1 | MEDIUM | MITRE-CVE |
Solution
- Upgrade self-hosted Probo deployments to v0.194.1.
- SaaS deployments on getprobo.com are already patched.
References to Advisories, Solutions, and Tools
Here, you will find a curated list of external links that provide in-depth
information, practical solutions, and valuable tools related to
CVE-2026-49820.
| URL | Resource |
|---|---|
| https://github.com/getprobo/probo/blob/main/SECURITY_NOTES.md | |
| https://github.com/getprobo/probo/security/advisories/GHSA-x7qq-m748-8p2c |
CWE - Common Weakness Enumeration
While CVE identifies
specific instances of vulnerabilities, CWE categorizes the common flaws or
weaknesses that can lead to vulnerabilities. CVE-2026-49820 is
associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification
(CAPEC)
stores attack patterns, which are descriptions of the common attributes and
approaches employed by adversaries to exploit the CVE-2026-49820
weaknesses.
We scan GitHub repositories to detect new proof-of-concept exploits. Following list is a collection of public exploits and proof-of-concepts, which have been published on GitHub (sorted by the most recently updated).
Results are limited to the first 15 repositories due to potential performance issues.
The following list is the news that have been mention
CVE-2026-49820 vulnerability anywhere in the article.
The following table lists the changes that have been made to the
CVE-2026-49820 vulnerability over time.
Vulnerability history details can be useful for understanding the evolution of a vulnerability, and for identifying the most recent changes that may impact the vulnerability's severity, exploitability, or other characteristics.
-
CVE Translated by [email protected]
Oct. 24, 2026
Action Type Old Value New Value Changed Translation Title: probo de getprobo, Description: Probo es una plataforma de gobernanza, riesgo y cumplimiento (GRC) autoalojable, diseñada para equipos de ingeniería y seguridad. El paquete “saferedirect” de Probo valida las URLs de redirección utilizadas en los flujos de autenticación (OIDC, SAML, transferencia de sesión, conectores OAuth y enlaces mágicos de centros de confianza). Antes de la versión 0.19.3.1, el validador solo inspeccionaba el segundo carácter de las rutas relativas, por lo que una URL como “/.. / \evil.com” pasaba la validación porque el segundo carácter es “.”. “http.Redirect” de Go normaliza esta ruta a “/\evil.com” antes de establecer el encabezado “Location”. Los navegadores pueden interpretar la barra invertida como un separador de host y redirigir al usuario a un dominio externo (“https://evil.com”), eludiendo la restricción de mismo origen prevista. Esto permite el phishing de redirección abierta: un atacante puede crear un parámetro “continue” (o incrustar una URL maliciosa en un token de transferencia de sesión) que parece originarse de un dominio de Probo de confianza pero redirige a las víctimas a otro lugar. Esto se corrige en “go.probo.inc/probo” 0.193.1 normalizando las rutas relativas con “path.Clean” antes de la validación, rechazando las barras invertidas (incluyendo “%5c” codificado en porcentaje) en cualquier parte de la ruta, y volviendo a verificar el resultado normalizado en busca de prefijos relativos al protocolo y de barra invertida. Las implementaciones autoalojadas deben actualizar a probod v0.194.1 o posterior. Las implementaciones SaaS en getprobo.com están parcheadas. No hay una solución alternativa práctica disponible para las instalaciones autoalojadas. Title: probo de getprobo, Description: Probo es una plataforma de gobernanza, riesgo y cumplimiento (GRC) autoalojable, diseñada para equipos de ingeniería y seguridad. El paquete “saferedirect” de Probo valida las URLs de redirección utilizadas en los flujos de autenticación (OIDC, SAML, transferencia de sesión, conectores OAuth y enlaces mágicos de centros de confianza). Antes de la versión 0.19.3.1, el validador solo inspeccionaba el segundo carácter de las rutas relativas, por lo que una URL como “/.. / \evil.com” pasaba la validación porque el segundo carácter es “.”. “http.Redirect” de Go normaliza esta ruta a “/\evil.com” antes de establecer el encabezado “Location”. Los navegadores pueden interpretar la barra invertida como un separador de host y redirigir al usuario a un dominio externo (“https://evil.com”), eludiendo la restricción de mismo origen prevista. Esto permite el phishing de redirección abierta: un atacante puede crear un parámetro “continue” (o incrustar una URL maliciosa en un token de transferencia de sesión) que parece originarse de un dominio de Probo de confianza pero redirige a las víctimas a otro lugar. Esto se corrige en “go.probo.inc/probo” 0.193.1 normalizando las rutas relativas con “path.Clean” antes de la validación, rechazando las barras invertidas (incluyendo “%5c” codificado en porcentaje) en cualquier parte de la ruta, y volviendo a verificar el resultado normalizado en busca de prefijos relativos al protocolo y de barra invertida. Las implementaciones autoalojadas deben actualizar a probod v0.194.1 o posterior. Las implementaciones SaaS en getprobo.com están parcheadas. No hay una solución alternativa práctica disponible para las instalaciones autoalojadas. -
CVE Translated by [email protected]
Oct. 23, 2026
Action Type Old Value New Value Added Translation Title: probo de getprobo, Description: Probo es una plataforma de gobernanza, riesgo y cumplimiento (GRC) autoalojable, diseñada para equipos de ingeniería y seguridad. El paquete “saferedirect” de Probo valida las URLs de redirección utilizadas en los flujos de autenticación (OIDC, SAML, transferencia de sesión, conectores OAuth y enlaces mágicos de centros de confianza). Antes de la versión 0.19.3.1, el validador solo inspeccionaba el segundo carácter de las rutas relativas, por lo que una URL como “/.. / \evil.com” pasaba la validación porque el segundo carácter es “.”. “http.Redirect” de Go normaliza esta ruta a “/\evil.com” antes de establecer el encabezado “Location”. Los navegadores pueden interpretar la barra invertida como un separador de host y redirigir al usuario a un dominio externo (“https://evil.com”), eludiendo la restricción de mismo origen prevista. Esto permite el phishing de redirección abierta: un atacante puede crear un parámetro “continue” (o incrustar una URL maliciosa en un token de transferencia de sesión) que parece originarse de un dominio de Probo de confianza pero redirige a las víctimas a otro lugar. Esto se corrige en “go.probo.inc/probo” 0.193.1 normalizando las rutas relativas con “path.Clean” antes de la validación, rechazando las barras invertidas (incluyendo “%5c” codificado en porcentaje) en cualquier parte de la ruta, y volviendo a verificar el resultado normalizado en busca de prefijos relativos al protocolo y de barra invertida. Las implementaciones autoalojadas deben actualizar a probod v0.194.1 o posterior. Las implementaciones SaaS en getprobo.com están parcheadas. No hay una solución alternativa práctica disponible para las instalaciones autoalojadas. -
CVE Modified by 134c704f-9b21-4f2e-91b3-4a467353bcc0
Aug. 14, 2026
Action Type Old Value New Value Added SSVC {'id': 'CVE-2026-49820', 'role': 'CISA Coordinator', 'options': [{'exploitation': 'none'}, {'automatable': 'no'}, {'technicalImpact': 'partial'}], 'version': '2.0.3', 'timestamp': '2026-08-14T15:40:09.566556Z'} -
New CVE Received by [email protected]
Aug. 13, 2026
Action Type Old Value New Value Added Affected [{'vendor': 'getprobo', 'product': 'probo', 'versions': [{'status': 'affected', 'version': '< 0.193.1'}]}] Added Description Probo is a self-hostable governance, risk, and compliance (GRC) platform built for engineering and security teams. Probo's `saferedirect` package validates redirect URLs used across authentication flows (OIDC, SAML, session transfer, OAuth connectors, and trust-center magic links). Prior to version 0.19.3.1, the validator only inspected the second character of relative paths, so a URL like `/../\evil.com` passed validation because the second character is `.`. Go's `http.Redirect` normalizes this path to `/\evil.com` before setting the `Location` header. Browsers can interpret the backslash as a host separator and redirect the user to an external domain (`https://evil.com`), bypassing the intended same-origin restriction. This enables open-redirect phishing: an attacker can craft a `continue` parameter (or embed a malicious URL in a session-transfer token) that appears to originate from a trusted Probo domain but redirects victims elsewhere. This is fixed in `go.probo.inc/probo` 0.193.1 by normalizing relative paths with `path.Clean` before validation, rejecting backslashes (including percent-encoded `%5c`) anywhere in the path, and re-checking the normalized result for protocol-relative and backslash prefixes. Self-hosted deployments should upgrade to probod v0.194.1 or later. SaaS deployments on getprobo.com are patched. No practical workaround is available for self-hosted installations. Added CVSS V3.1 AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N Added CWE CWE-601 Added Reference https://github.com/getprobo/probo/blob/main/SECURITY_NOTES.md Added Reference https://github.com/getprobo/probo/security/advisories/GHSA-x7qq-m748-8p2c