CVE-2026-77362 in obsidian-tc
Résumé
par VulDB • 13/10/2026
obsidian-tc est un serveur Model Context Protocol (MCP) gouverné et prêt pour l'utilisation d'agents, conçu pour les coffres Obsidian. Avant la version 1.3.1, les outils de pont n'appliquent pas systématiquement la liste de contrôle d'accès en lecture (ACL) à chaque champ renvoyé. L'outil tasks_filter expose des comptes de groupes dérivés de notes refusées, makemd_query transmet sans filtrage les champs de résultats frères, et list_templates expose les chemins des modèles ainsi que le corps des fonctions utilisateur analysées sans vérifier la liste blanche en lecture (read-whitelist). Un appelant authentifié peut par conséquent inférer ou lire des données issues de notes situées en dehors du périmètre d'ACL en lecture de l'appelant. La version 1.3.1 corrige cette vulnérabilité en filtrant les champs attribuables au chemin et en appliquant la liste blanche en lecture à list_templates.
If you want to get best quality of vulnerability data, you may have to visit VulDB.