Transport HTTP w obsidian-tc nie ma ochrony przed Origin/DNS-rebinding, umożliwiając dostęp drive-by do skarbca na pętli zwrotnej
Wpływ
Transport Streamable HTTP został skonstruowany bez enableDnsRebindingProtection/allowedHosts/allowedOrigins i nie wykonywał walidacji nagłówka Origin. Przy udokumentowanej domyślnej konfiguracji pętli zwrotnej auth.mode: "none", strona internetowa drive-by mogła POST http://127.0.0.1/mcp oraz otrzymać http-local wywołującego z uprawnieniami ["*"] — pełny odczyt/zapis skarbca — za pośrednictwem DNS rebinding / sfałszowanego nagłówka Origin.
Poprawki
Naprawiono w 1.3.1. Należy zaktualizować do >= 1.3.1. Transport włącza teraz ochronę przed DNS-rebinding oraz dozwolone hosty/początki i zwraca HTTP 403 przy nieprawidłowym Origin (zgodnie z MCP 2025-11-25).
Obejścia
Nie należy wystawiać transportu HTTP z auth.mode: "none"; należy wymagać uwierzytelniania JWT lub powiązać z interfejsem innym niż pętla zwrotna za serwerem proxy weryfikującym Origin.
Co trzeba zrobić
Zaktualizuj do >= 1.3.1 (naprawiono w 1.3.1). Alternatywnie nie wystawiaj transportu HTTP z auth.mode: "none"; wymagaj uwierzytelniania JWT lub powiąż z interfejsem innym niż pętla zwrotna za serwerem proxy weryfikującym Origin.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | obsidian-tc | < 1.3.1 | 1.3.1 |
Odnośniki
- https://github.com/The-40-Thieves/obsidian-tc/security/advisories/GHSA-pqh8-4pj7-32xx
- https://github.com/The-40-Thieves/obsidian-tc/pull/74
- https://github.com/The-40-Thieves/obsidian-tc/commit/6428bfe6fdfd43aa7b4b369be3aecd6a268fb928
- https://github.com/The-40-Thieves/obsidian-tc
- https://github.com/The-40-Thieves/obsidian-tc/releases/tag/v1.3.1
- https://nvd.nist.gov/vuln/detail/cve-2026-77363
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Słabość (CWE)
CWE-1385, CWE-346- Platforma
- npm
- Paczka
obsidian-tc- Ujawniono
- 23.10.2026
- Aktualizacja
- 24.10.2026 00:00
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-pqh8-4pj7-32xx - CC BY 4.0
Historia podatności: obsidian-tc
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 5
- Pierwsza → ostatnia
- 10.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Średnia 3
Ujawnienia w latach
- 2026: 5
-
Transport HTTP w obsidian-tc nie ma ochrony przed Origin/DNS-rebinding, umożliwiając dostęp drive-by do skarbca na pętli zwrotnej ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.