CVE-2026-77366 in obsidian-tc
Сводка
по VulDB • 12.10.2026
obsidian-tc — это управляемый сервер Model Context Protocol (MCP), готовый к работе с агентами, для хранилищ Obsidian. До версии 1.3.1 диспетчеризация инструментов не сравнивала значение input.vault, контролируемое вызывающей стороной, с хранилищем, привязанным к этому пользователю; в JSON Web Token (JWT) отсутствовало утверждение о принадлежности к конкретному хранилищу (vault claim), а список контроля доступа на уровне папок был общим для всех. В результате любой действительный токен мог выбрать другое настроенное хранилище и читать, записывать или удалять его содержимое с помощью затронутых инструментов. Уязвимость исправлена в версии 1.3.1 путем привязки токенов и контекста запроса к конкретному хранилищу, а также отклонения несовпадающих значений input.vault до проверки областей действия (scope checks).
If you want to get best quality of vulnerability data, you may have to visit VulDB.