obsidian-tc Bridge tools leak denied-note data via unfiltered sibling fields
Impact
Bridge tool results filtered only the items array against the read ACL and passed sibling fields through unfiltered: tasks_filter emitted groups whose counts reflected denied notes, makemd_query returned ...result siblings, and list_templates enumerated Templater template paths and parsed user-function bodies with no read-whitelist gate. A caller could infer or read data from notes outside its read ACL.
Patches
Fixed in 1.3.1. Upgrade to >= 1.3.1. All path-attributable fields are now scrubbed or fail-closed, and list_templates is gated on the read whitelist.
Workarounds
Disable the affected bridge tools (tasks_filter, makemd_query, list_templates) via tool visibility.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | obsidian-tc | < 1.3.1 | 1.3.1 |
Referencias
- https://github.com/The-40-Thieves/obsidian-tc/security/advisories/GHSA-43r2-c7g8-prc8
- https://nvd.nist.gov/vuln/detail/CVE-2026-77362
- https://github.com/The-40-Thieves/obsidian-tc/pull/75
- https://github.com/The-40-Thieves/obsidian-tc/commit/5ab2109274acf0070601fa71a62b14ddc9652309
- https://github.com/The-40-Thieves/obsidian-tc
- https://github.com/The-40-Thieves/obsidian-tc/releases/tag/v1.3.1
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N- Debilidad (CWE)
CWE-200, CWE-863- Plataforma
- npm
- Paquete
obsidian-tc- Publicada
- 23.10.2026
- Actualizado
- 23.10.2026 21:17
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-43r2-c7g8-prc8 - CC BY 4.0
Historial de vulnerabilidades: obsidian-tc
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 5
- Primera → última
- 10.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Media 3
Divulgaciones por año
- 2026: 5
-
obsidian-tc Bridge tools leak denied-note data via unfiltered sibling fields esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.