Критический

Опубликована

CVE-2026-77366

obsidian-tc tokens can access arbitrary configured vaults

Публикация: 12.10.2026·Обновлена: 23.10.2026, 20:45·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

obsidian-tc is a governed, agent-ready Model Context Protocol server for Obsidian vaults. Prior to 1.3.1, tool dispatch does not compare the caller-controlled input.vault value with the vault bound to the caller, the JSON Web Token (JWT) has no vault claim, and the folder access-control list is shared globally. Any valid token can therefore select another configured vault and read, write, or delete its contents through affected tools. Version 1.3.1 fixes the vulnerability by binding tokens and request context to a vault and rejecting mismatched input.vault values before scope checks.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

The-40-Thieves / obsidian-tc

{
  "status": "affected",
  "version": "< 1.3.1"
}

obsidian-tc npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "1.3.1"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.9

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

Классы CWE

CWE-639 · Обход авторизации через управляемый пользователем идентификатор CWE-863 · Некорректная проверка полномочий

Источники и ссылки

Материал · github.com · cve Материал · github.com · cve Материал · github.com · cve Материал · github.com · cve Материал · github.com · osv Материал · nvd.nist.gov · osv CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:15:07.536760+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T20:26:25.551362+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T20:26:25.551362+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T20:26:25.551362+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:15:07.536760+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T20:26:25.551362+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены04.11.2026, 00:15
Данные обновлены03.11.2026, 00:14
Данные обновлены02.11.2026, 15:14
Данные обновлены02.11.2026, 00:12
Данные обновлены31.10.2026, 11:59
Данные обновлены29.10.2026, 12:41
Опубликована28.10.2026, 23:26

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-115478 obsidian-tc: Memory-lifecycle tools overwrite unowned notes or partially commit lifecycle changes The-40-Thieves / obsidian-tc · obsidian-tc	Высокий	7.1	0,32 %		23.10.2026
CVE-2026-115477 obsidian-tc: Declined human-in-the-loop confirmations can permit destructive calls over HTTP The-40-Thieves / obsidian-tc · obsidian-tc	Критический	7.1	0,35 %	PoC	23.10.2026
CVE-2026-77363 obsidian-tc Streamable HTTP transport permits cross-origin loopback vault access The-40-Thieves / obsidian-tc · obsidian-tc	Высокий	8.8	0,16 %		12.10.2026
CVE-2026-77362 obsidian-tc bridge tools expose data outside the read ACL The-40-Thieves / obsidian-tc · obsidian-tc	Средний	4.3	0,2 %		13.10.2026
CVE-2026-77361 obsidian-tc symlink path mismatch bypasses read ACL restrictions The-40-Thieves / obsidian-tc · obsidian-tc	Средний	4.7	0,11 %		13.10.2026