Tokeny obsidian-tc mogą uzyskiwać dostęp do dowolnych skonfigurowanych skarbców
Wpływ
Mechanizm dispatch narzędzi nie weryfikował podanego przez wywołującego parametru input.vault względem powiązanego ze skarbcem tokena wywołującego (ctx.vaultId); ACL folderu stanowiło pojedynczą, globalną instancję, a token JWT nie posiadał roszczenia dotyczącego skarbca. W rezultacie każdy prawidłowy token mógł odczytywać, zapisywać lub usuwać dowolny skonfigurowany skarbiec, przekazując input.vault, co przełamywało izolację wielu najemców w około 90 miejscach narzędziowych. (resources/read było jedyną powierzchnią, która posiadała już to zabezpieczenie).
Poprawki
Problem rozwiązano w 1.3.1 (poprawka została opracowana na tagu v1.3.0, który nigdy nie został opublikowany w npm; 1.3.1 to pierwsze opublikowane wydanie zawierające poprawkę). Zaktualizuj do >= 1.3.1.
Obejścia
Uruchamiaj pojedynczy skarbiec na proces serwera lub izoluj każdego najemcę w osobnym procesie bądź przy użyciu osobnych danych uwierzytelniających.
Rozwiązanie
W mechanizmie dispatch przed weryfikacją uprawnień dodano centralne zabezpieczenie input.vault === ctx.vaultId.
Co trzeba zrobić
Zaktualizuj do >= 1.3.1. Jako obejście można uruchamiać jeden skarbiec na proces serwera lub odizolować każdego najemcę w osobnym procesie lub z osobnymi poświadczeniami.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | obsidian-tc | < 1.3.1 | 1.3.1 |
Odnośniki
- https://github.com/The-40-Thieves/obsidian-tc/security/advisories/GHSA-84c9-qqpq-2pq5
- https://github.com/The-40-Thieves/obsidian-tc/pull/72
- https://github.com/The-40-Thieves/obsidian-tc/commit/38b4992e87dc2715564236e1a42d005ab05a0194
- https://github.com/The-40-Thieves/obsidian-tc
- https://github.com/The-40-Thieves/obsidian-tc/releases/tag/v1.3.1
- https://nvd.nist.gov/vuln/detail/cve-2026-77366
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H- Słabość (CWE)
CWE-639, CWE-863- Platforma
- npm
- Paczka
obsidian-tc- Ujawniono
- 23.10.2026
- Aktualizacja
- 24.10.2026 00:00
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-84c9-qqpq-2pq5 - CC BY 4.0
Historia podatności: obsidian-tc
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 5
- Pierwsza → ostatnia
- 10.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Średnia 3
Ujawnienia w latach
- 2026: 5
-
Tokeny obsidian-tc mogą uzyskiwać dostęp do dowolnych skonfigurowanych skarbców ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.