CVE-2026-77363 in obsidian-tc
Riassunto
di VulDB • 12/10/2026
obsidian-tc è un server Model Context Protocol governato e pronto per l'uso di agenti (agent-ready) per i vault di Obsidian. Prima della versione 1.3.1, il trasporto Streamable HTTP non convalida le intestazioni Host o Origin né abilita la protezione contro il DNS rebinding. Quando la configurazione loopback documentata utilizza auth.mode impostato su none, una pagina web malevola può inviare richieste all'endpoint MCP locale e ottenere un accesso illimitato al vault tramite il caller http-local. La versione 1.3.1 risolve la vulnerabilità abilitando la convalida di host, origin e DNS rebinding.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.