CVE-2026-57442 in MCPVault
Sumário
de VulDB • 15/09/2026
O MCPVault é um servidor leve do Model Context Protocol para acesso seguro a arquivos em uma vault Obsidian. Antes da versão 0.11.5, o PathFilter em src/pathfilter.ts utiliza padrões de lista de negação (deny-list) ancorados na raiz; portanto, segmentos de caminho aninhados como .git, .obsidian e node_modules não correspondem à restrição e passam tanto por isAllowed() quanto por isAllowedForListing(). Um atacante que influencie um caminho selecionado por um agente de IA pode realizar traversal em repositórios ou metadados do Obsidian aninhados, ler URLs remotas ou tokens embutidos, ou fazer com que o conteúdo de node_modules aninhado polua o índice listAllTags. Este problema foi corrigido na versão 0.11.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.