Apa yang terjadi
Di obsidian-tc, dispatch alat tidak memverifikasi bahwa input.vault pemanggil cocok dengan vault yang terikat pada pemanggil, JWT tidak memiliki klaim vault, dan daftar kontrol akses folder dibagikan secara global. Oleh karena itu, token valid apa pun dapat memilih vault terkonfigurasi lain dan membaca, menulis, atau menghapus isinya melalui alat yang terpengaruh. Digabungkan dengan cacat DNS-rebinding saudara dalam mode loopback/tanpa-auth yang didokumentasikan, data vault yang dapat dijangkau agen AI yang terhubung tidak dibatasi per pemanggil.
Mengapa penting
Server MCP adalah sistem file/tangan dari agen AI. IDOR multi-penyewa di sini berarti agen yang memegang token apa pun — atau, dalam konfigurasi loopback tanpa-auth yang direkomendasikan, halaman web lokal mana pun melalui DNS rebinding — dapat secara diam-diam membaca dan menghancurkan catatan, embedding, dan konfigurasi plugin vault Obsidian yang berbeda (lihat juga CVE-2026-77363/77364 untuk produk yang sama).
Vektor serangan
Dispatch alat MCP tidak pernah membandingkan nilai input.vault yang dikendalikan pemanggil dengan vault yang terikat pada pemanggil; JWT tidak membawa klaim vault dan ACL folder bersifat global. Token valid untuk satu vault mengirim permintaan yang menyebutkan vault lain, dan operasi baca/tulis/hapus yang terpengaruh beroperasi pada file vault target.
Sistem yang terdampak
obsidian-tc (The-40-Thieves) < 1.3.1
Mitigasi
Tingkatkan ke obsidian-tc 1.3.1 (commit 38b4992e87dc..., PR #72). Perbaikan mengikat token dan konteks permintaan ke vault dan menolak input.vault yang tidak cocok sebelum pemeriksaan cakupan.