CVE-2026-63505

Nome do Software Vulnerável e Versões Afetadas Probo versões anteriores a 0.223.1

Description A API GraphQL do console não valida se um risco referenciado pertence à organização do solicitante quando um Finding referencia um Risk através de finding.riskId. O resolver do campo Finding.risk autoriza a descoberta com base na organização do solicitante, mas carrega o risco usando um escopo de locatário derivado do ID global do próprio risco. Isso permite que um membro autenticado de uma organização anexe um ID global de risco de outra organização a uma descoberta de sua propriedade, permitindo a leitura de detalhes confidenciais do risco, incluindo nome, descrição, tratamento, categoria, severidade e proprietário. Além disso, essa referência entre locatários pode impedir que a organização proprietária do risco o exclua devido a uma restrição de exclusão, resultando em uma negação de serviço relacionada à integridade dos dados.

Recommendations Atualizar para a versão 0.223.1.