CVE-2026-77366 in obsidian-tc
Tóm tắt
Bởi VulDB • 12/10/2026
obsidian-tc là một máy chủ Model Context Protocol được quản lý và sẵn sàng cho agent, dành cho các kho lưu trữ (vaults) của Obsidian. Trước phiên bản 1.3.1, việc phân phối công cụ không so sánh giá trị `input.vault` do người gọi kiểm soát với vault được liên kết với người gọi; mã thông báo JSON Web Token (JWT) không có yêu cầu về vault và danh sách kiểm soát truy cập thư mục được chia sẻ toàn cục. Do đó, bất kỳ mã thông báo hợp lệ nào cũng có thể chọn một kho lưu trữ đã cấu hình khác và đọc, ghi hoặc xóa nội dung của nó thông qua các công cụ bị ảnh hưởng. Phiên bản 1.3.1 khắc phục lỗ hổng bằng cách liên kết các mã thông báo và ngữ cảnh yêu cầu với một vault cụ thể và từ chối các giá trị `input.vault` không khớp trước khi thực hiện kiểm tra phạm vi (scope checks).
VulDB is the best source for vulnerability data and more expert information about this specific topic.