CVE-2026-77366
tokens do obsidian-tc podem acessar vaults configurados arbitrários
A chamada de ferramenta não verificou a entrada.vault fornecida pelo chamador contra o vault vinculado do chamador (ctx.vaultId); o ACL da pasta era uma única instância global e o JWT não carregava nenhuma reivindicação de vault. Como resultado, qualquer token válido poderia ler, escrever ou excluir qualquer vault configurado passando input.vault, derrotando o isolamento multi-inquilino em ~90 sites de ferramentas.
Traduzido automaticamente do inglês.
- The-40-Thieves obsidian-tc
- Crítica
- CVSS 9.9
- EPSS 0,31%
- Versão corrigida informada
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| The-40-Thieves obsidian-tc | < 1.3.1 | Nenhuma informada |
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| obsidian-tc (npm) | < 1.3.1 | 1.3.1 | GHSA-84c9-qqpq-2pq5 |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.9 (v3.1, pontuado por GitHub)
- EPSS
- 0,31% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: não. Impacto técnico: total. Em 13 de out. de 2026.
- Fraqueza
- CWE-639: Authorization Bypass Through User-Controlled Key; CWE-863: Incorrect Authorization
- Fabricante
- The-40-Thieves, obsidian-tc
Linha do tempo
- O GitHub publicou o alerta GHSA-84c9-qqpq-2pq5 (crítica). Corrigido em 1.3.1.