CVE-2026-77363
obsidian-tc: transporte HTTP falta proteção Origin/DNS-rebinding, permitindo acesso drive-by ao cofre no loopback
O transporte HTTP Streamable foi construído sem enableDnsRebindingProtection/allowedHosts/allowedOrigins e não realizou validação de cabeçalho Origin. Com o modo de autenticação documentado auth.mode: "none" padrão de loopback, uma página web drive-by poderia POST http://127.0.0.1/mcp e receber chamada http-local com escopos ["*"] — leitura/gravação completa do cofre — via DNS rebinding / um Origin forjado.
Traduzido automaticamente do inglês.
- The-40-Thieves obsidian-tc
- Crítica
- CVSS 9.6
- EPSS 0,16%
- Versão corrigida informada
O que fazer
Versão corrigida informada
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| obsidian-tc (npm) | < 1.3.1 | 1.3.1 | GHSA-pqh8-4pj7-32xx |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.6 (v3.1, pontuado por GitHub)
- EPSS
- 0,16% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: não. Impacto técnico: total. Em 13 de out. de 2026.
- Fraqueza
- CWE-346: Origin Validation Error; CWE-1385: Missing Origin Validation in WebSockets
- Fabricante
- The-40-Thieves, obsidian-tc
Linha do tempo
- O GitHub publicou o alerta GHSA-pqh8-4pj7-32xx (crítica). Corrigido em 1.3.1.