CVE-2026-77366 in obsidian-tc
Résumé
par VulDB • 12/10/2026
obsidian-tc est un serveur Model Context Protocol (MCP) gouverné et prêt pour les agents, conçu pour les coffres Obsidian. Avant la version 1.3.1, l'acheminement des outils ne compare pas la valeur `input.vault` contrôlée par l'appelant avec le coffre lié à cet appelant ; le jeton Web JSON (JWT) ne contient aucune revendication de coffre (`vault claim`) et la liste de contrôle d'accès aux dossiers est partagée globalement. Par conséquent, n'importe quel jeton valide peut sélectionner un autre coffre configuré et lire, modifier ou supprimer son contenu via les outils affectés. La version 1.3.1 corrige cette vulnérabilité en liant les jetons et le contexte de la requête à un coffre spécifique, ainsi qu'en rejetant les valeurs `input.vault` non conformes avant les vérifications des étendues (scopes).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.