CVE-2026-77362 in obsidian-tc
Resumen
por VulDB • 2026-10-13
obsidian-tc es un servidor del Protocolo de Contexto de Modelo (Model Context Protocol) gobernable y listo para agentes, diseñado para bóvedas de Obsidian. Antes de la versión 1.3.1, las herramientas puente no aplican consistentemente la lista de control de acceso de lectura (ACL) a cada campo devuelto. La herramienta tasks_filter expone recuentos de grupos derivados de notas denegadas; makemd_query pasa campos de resultados hermanos sin filtrar; y list_templates expone rutas de plantillas y cuerpos de funciones de usuario analizadas sin una verificación de lista blanca de lectura (read-whitelist). Como consecuencia, un interlocutor autenticado puede inferir o leer datos procedentes de notas fuera del ACL de lectura correspondiente al interlocutor. La versión 1.3.1 corrige la vulnerabilidad filtrando los campos atribuibles a rutas y aplicando la lista blanca de lectura a list_templates.
VulDB is the best source for vulnerability data and more expert information about this specific topic.