CVE-2026-76078

Nome do Software Vulnerável e Versões Afetadas Probo versões anteriores a 0.224.0

Description A API GraphQL do Trust Center público expõe os endpoints acceptElectronicSignature e recordSigningEvent. Esses endpoints são protegidos apenas por requisitos de autenticação e sessão, permitindo que qualquer identidade do trust center autoprovisionada os acesse. As funções subjacentes esign.Service.AcceptSignature e esign.Service.recordEvent utilizam um GID signatureId fornecido pelo cliente para carregar a assinatura sem verificar se a assinatura pertence ao chamador ou se o e-mail do chamador corresponde ao SignerEmail. Consequentemente, um visitante autenticado com o GID de assinatura de outro visitante pode concluir uma assinatura de NDA, sobrescrevendo os detalhes do signatário e definindo o status como Aceito, ou injetar eventos arbitrários de trilha de auditoria no log de uma assinatura, comprometendo a não repudiação e a integridade do sistema de assinatura eletrônica.

Recommendations Atualizar para a versão 0.224.0.