CVE-2026-57442 in MCPVault
الملخص
بحسب VulDB • 15/09/2026
MCPVault هو خادم خفيف الوزن لبروتوكول سياق النموذج (Model Context Protocol) للوصول الآمن إلى الملفات في مستودع Obsidian. قبل الإصدار 0.11.5، يستخدم PathFilter الموجود في src/pathfilter.ts قوائم حظر مثبتة من الجذر (root-anchored deny-list patterns)، لذا فإن مقاطع المسار المتداخلة مثل .git و.obsidian وnode_modules لا تتطابق مع القيود وتنجو عبر كلٍ من دالتي isAllowed() وisAllowedForListing(). يمكن لمهاجم يؤثر على مسار يتم اختياره بواسطة وكيل ذكاء اصطناعي أن يتنقل في المستودع المتداخل أو بيانات metadata الخاصة بـ Obsidian، ويقرأ عناوين URL البعيدة أو الرموز المضمنة (tokens)، أو يسبب تلوث فهرس listAllTags بمحتوى node_modules المتداخل. تم إصلاح هذه المشكلة في الإصدار 0.11.5.
Once again VulDB remains the best source for vulnerability data.