CVE-2026-77366: obsidian-tc: bypass de autorização na seleção de vault (IDOR)
As versões do obsidian-tc anteriores à 1.3.1 permitem que qualquer token válido selecione outro vault configurado por meio do valor input.vault e leia, escreva ou apague seu conteúdo pelas ferramentas afetadas. O CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.9, e o registro indica a versão 1.3.1 como correção. O catálogo KEV da CISA não lista esta CVE e não há exploração confirmada nas fontes consultadas.
Visão geral
O obsidian-tc é um servidor Model Context Protocol para vaults do Obsidian. Segundo o registro, as versões anteriores à 1.3.1 não verificam se o valor input.vault, informado pelo chamador, corresponde ao vault vinculado a quem faz a requisição; assim, um token válido pode direcionar operações a outro vault configurado. A fraqueza é classificada como CWE-639 e está descrita no aviso de segurança do GitHub GHSA-84c9-qqpq-2pq5.
Impacto
- De acordo com o registro, qualquer token válido pode ler, escrever ou apagar o conteúdo de outros vaults configurados pelas ferramentas afetadas.
- O CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.9, impacto alto em confidencialidade, integridade e disponibilidade e escopo alterado.
- O impacto prático em cada implantação depende de quantos vaults estão configurados e do que contêm (inferência).
Produtos e versões afetadas
- The-40-Thieves obsidian-tc, versões anteriores à 1.3.1.
- O registro indica a 1.3.1 como versão corrigida, e a release v1.3.1 é referenciada.
- O campo estruturado de correções do registro está vazio, por isso a versão corrigida foi extraída da descrição e da referência de release.
Status de exploração
- O registro mostra que esta CVE não está listada no catálogo KEV da CISA.
- Não há exploração confirmada nas fontes consultadas.
- Os campos SSVC do registro indicam exploração none e automatizável no. A probabilidade EPSS é 0.00308 (percentil 0.21897) em 2026-10-13.
Correção e mitigação
- Atualize o obsidian-tc para a versão 1.3.1 ou superior.
- Após a atualização, considere rotacionar os tokens emitidos antes da correção, pois o registro afirma que eles não tinham claim de vault (inferência).
- Até que a atualização seja aplicada, restrinja quais clientes e tokens podem acessar o servidor e reduza, quando possível, o número de vaults configurados (inferência; o registro não descreve um contorno).
Orientação para detecção
- Revise os logs do servidor e dos clientes em busca de requisições cuja seleção de vault não corresponda ao vault esperado para a identidade que chama.
- Procure atividade de leitura, escrita ou exclusão em vaults que um determinado token não deveria precisar acessar.
- Trate esses achados como itens para investigação, não como comprometimento confirmado.
Limitações das informações disponíveis
- O registro não traz detalhes técnicos além da descrição, nem contorno e nem o número de instalações afetadas.
- O campo estruturado de correções está vazio; a versão corrigida se apoia na descrição e na referência de release.
- O registro não informa se o pull request e o commit referenciados constituem a correção completa.
Perguntas frequentes
Quais versões do obsidian-tc são afetadas pela CVE-2026-77366?
Segundo o registro, as versões anteriores à 1.3.1 são afetadas. O registro indica a 1.3.1 como a versão que corrige o problema.
Há exploração confirmada desta vulnerabilidade?
O catálogo KEV da CISA não lista esta CVE no registro, e não há exploração confirmada nas fontes consultadas. Ainda assim, dada a classificação crítica, a atualização deve ser feita com prioridade.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.