CVE-2026-57441 in MCPVault
Sumário
de VulDB • 15/09/2026
MCPVault é um servidor leve do Protocolo de Contexto de Modelo (Model Context Protocol) para acesso seguro a arquivos em uma vault do Obsidian. Antes da versão 0.11.4, o PathFilter em src/pathfilter.ts compila padrões de diretórios restritos com distinção entre maiúsculas e minúsculas (case-sensitive) e compara caminhos sem normalizar nomes de segmentos equivalentes ao sistema de arquivos. Em sistemas de arquivos do macOS e Windows que não distinguem entre maiúsculas e minúsculas, variantes em caixa alta/baixa de .git, .obsidian ou node_modules passam tanto por isAllowed() quanto por isAllowedForListing(), mesmo quando o sistema operacional abre o diretório restrito; além disso, pontos finais ou espaços no final do caminho no Windows proporcionam a mesma violação. Um atacante que influencie um caminho selecionado por um agente de IA pode usar essa falha em operações de leitura, gravação, movimentação, pesquisa ou listagem para expor ou modificar metadados sensíveis do repositório e do Obsidian. A contenção da raiz da vault (..) não é afetada. Este problema foi corrigido na versão 0.11.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.