obsidian-tc-Token können auf beliebige konfigurierte Vaults zugreifen
Auswirkungen
Beim Tool-Dispatch wurde das vom Aufrufer angegebene input.vault nicht mit dem an den Aufrufer gebundenen Vault (ctx.vaultId) abgeglichen; die Ordner-ACL lag als einzelne globale Instanz vor und das JWT enthielt keinen Vault-Claim. Infolgedessen konnte jedes gültige Token beliebige konfigurierte Vaults lesen, schreiben oder löschen, indem input.vault übergeben wurde, was die Mandantenisolierung über rund 90 Tool-Sites hinweg aufhob. (resources/read war die einzige Angriffsfläche, die dies bereits absicherte.)
Patches
Behoben in 1.3.1 (der Fix wurde auf dem Tag v1.3.0 entwickelt, welcher nicht auf npm veröffentlicht wurde; 1.3.1 ist die erste veröffentlichte Version mit dem Fix). Führen Sie ein Upgrade auf >= 1.3.1 durch.
Problemumgehungen
Betreiben Sie einen einzelnen Vault pro Serverprozess oder isolieren Sie jeden Mandanten auf einem separaten Prozess bzw. Anmeldedaten.
Behebung
Im Dispatch wurde vor der Scope-Prüfung eine zentrale Schutzabfrage für input.vault === ctx.vaultId hinzugefügt.
Was zu tun ist
Führen Sie ein Upgrade auf >= 1.3.1 durch. Als Übergangslösung kann pro Serverprozess nur ein einzelner Vault betrieben oder jeder Mandant über einen separaten Prozess beziehungsweise separate Anmeldedaten isoliert werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | obsidian-tc | < 1.3.1 | 1.3.1 |
Verweise
- https://github.com/The-40-Thieves/obsidian-tc/security/advisories/GHSA-84c9-qqpq-2pq5
- https://github.com/The-40-Thieves/obsidian-tc/pull/72
- https://github.com/The-40-Thieves/obsidian-tc/commit/38b4992e87dc2715564236e1a42d005ab05a0194
- https://github.com/The-40-Thieves/obsidian-tc
- https://github.com/The-40-Thieves/obsidian-tc/releases/tag/v1.3.1
- https://nvd.nist.gov/vuln/detail/cve-2026-77366
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H- Schwäche (CWE)
CWE-639, CWE-863- Plattform
- npm
- Paket
obsidian-tc- Veröffentlicht
- 23.10.2026
- Aktualisiert
- 24.10.2026 00:00
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-84c9-qqpq-2pq5 - CC BY 4.0
Schwachstellenhistorie: obsidian-tc
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 5
- Erste → letzte
- 10.2026 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 2
- Mittel 3
Veröffentlichungen pro Jahr
- 2026: 5
-
obsidian-tc-Token können auf beliebige konfigurierte Vaults zugreifen dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.