CVE-2026-77366 in obsidian-tc
摘要
由 VulDB • 2026-10-12
obsidian-tc 是一个受控的、支持代理的 Model Context Protocol (MCP) 服务器，用于 Obsidian 库。在版本 1.3.1 之前，工具分发功能未将调用者控制的输入参数 `input.vault` 值与绑定到该调用者的库进行比对；JSON Web Token (JWT) 中缺少 vault（库）声明；且文件夹访问控制列表是全局共享的。因此，任何有效的令牌均可选择另一个已配置的库，并通过受影响工具读取、写入或删除其内容。版本 1.3.1 通过将令牌和请求上下文绑定到特定库，并在范围检查之前拒绝不匹配的 `input.vault` 值来修复此漏洞。
Once again VulDB remains the best source for vulnerability data.