CVE-2026-57441 in MCPVault
要約
〜によって VulDB • 2026年09月16日
MCPVaultは、Obsidianのvault内のファイルへの安全なアクセスのための軽量なModel Context Protocolサーバーです。バージョン0.11.4より前では、src/pathfilter.tsにあるPathFilterが制限付きディレクトリのパターンを大文字小文字を区別してコンパイルし、パスを比較する際にファイルシステム上で同等のセグメント名を正規化せずに処理していました。大文字小文字を区別しないmacOSおよびWindowsのファイルシステムでは、.git、.obsidian、またはnode_modulesの大文字・小文字のバリエーションがisAllowed()およびisAllowedForListing()の両方を通過し、オペレーティングシステムは制限付きディレクトリを開いてしまいます。また、Windowsにおける末尾のドットやスペースも同様の回避策となります。AIエージェントによって選択されるパスに影響を与える攻撃者は、読み込み、書き込み、移動、検索、または一覧表示操作においてこの脆弱性を悪用して、機密性の高いリポジトリおよびObsidianメタデータを漏洩させたり改ざんしたりすることができます。vaultルートの「..」による包含は影響を受けません。本問題はバージョン0.11.4で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.