Apa yang terjadi
Transport Streamable HTTP milik obsidian-tc tidak memiliki validasi header Host/Origin dan perlindungan DNS-rebinding. Ketika konfigurasi loopback yang terdokumentasi menggunakan auth.mode=none, halaman web jahat dapat mengirim permintaan cross-origin (atau DNS-rebinding) ke endpoint MCP lokal dan menerima akses vault tanpa batas sebagai pemanggil http-local — rute alternatif berbasis browser menuju vault-IDOR pada produk yang sama.
Mengapa penting
Jika digabungkan dengan CVE-2026-77366, ini memberikan penyerang jarak jauh jalur khusus browser (sekadar mengunjungi halaman yang direkayasa) ke server MCP vault Obsidian lokal pengguna, dan melaluinya ke pembacaan/penulisan/penghapusan file vault — padanan MCP dari akses localhost drive-by yang dieksploitasi oleh serangan DNS-rebinding klasik terhadap server pengembangan.
Vektor serangan
Transport Streamable HTTP tidak memvalidasi header Host atau Origin maupun mengaktifkan perlindungan DNS-rebinding. Dalam konfigurasi loopback yang terdokumentasi dengan auth.mode=none, halaman web jahat mengirim permintaan ke endpoint MCP lokal dan memperoleh akses vault tanpa batas melalui pemanggil http-local.
Sistem yang terdampak
obsidian-tc (The-40-Thieves) < 1.3.1 (Transport Streamable HTTP)
Mitigasi
Tingkatkan ke obsidian-tc 1.3.1 (commit 6428bfe6fdfd43aa7b4b369be3aecd6a268fb928; PR #74), yang mengaktifkan validasi host/origin/DNS-rebinding. Jangan mengandalkan auth.mode=none untuk vault yang sensitif.