Apa yang terjadi
Diterbitkan 2026-10-13 (CVSS 4.7, CWE-59/863) melalui advisori GitHub; ACL sekarang diterapkan ke jalur relatif vault yang diselesaikan. Diverifikasi melalui NVD REST API.
Mengapa penting
ACL pembacaan file MCP adalah cara agen dibatasi dari catatan sensitif; ketidakcocokan symlink memungkinkan agen membaca konten yang ditolak, sebuah bypass yang tepat namun sempit terhadap model tata kelola vault.
Vektor serangan
Pemeriksaan ACL pembacaan menggunakan jalur relatif vault leksikal sementara pemeriksaan pembatasan menggunakan jalur yang diselesaikan; symlink dalam vault di bawah glob yang diizinkan yang menyelesaikan ke folder yang ditolak melewati ACL pembacaan.
Sistem yang terdampak
obsidian-tc MCP server < 1.3.1
Mitigasi
Tingkatkan obsidian-tc ke 1.3.1 (GHSA-c5xx-h28h-f682).