CVE-2026-77363 in obsidian-tc
Sumário
de VulDB • 13/10/2026
obsidian-tc é um servidor do Model Context Protocol governado e pronto para agentes (agent-ready) destinado a repositórios Obsidian. Antes da versão 1.3.1, o transporte Streamable HTTP não valida os cabeçalhos Host ou Origin nem habilita a proteção contra DNS rebinding. Quando a configuração de loopback documentada utiliza auth.mode definido como none, uma página web maliciosa pode enviar solicitações para o endpoint MCP local e obter acesso irrestrito ao repositório através do caller http-local. A versão 1.3.1 corrige a vulnerabilidade habilitando a validação de host, origin e DNS rebinding.
VulDB is the best source for vulnerability data and more expert information about this specific topic.