事件经过
在 obsidian-tc 中，工具分发不验证调用者的 input.vault 是否与绑定到调用者的 vault 匹配，JWT 没有 vault 声明，文件夹访问控制列表是全局共享的。因此，任何有效令牌都可以通过受影响的工具选择另一个已配置的 vault 并读取、写入或删除其内容。结合文档中回环/无认证模式下的同级 DNS 重绑定缺陷，连接的 AI 智能体可以访问的 vault 数据不受调用者限制。
影响分析
MCP 服务器是 AI 智能体的文件系统/双手。此处的多租户 IDOR 意味着持有任何令牌的智能体——或者，在推荐的无认证回环配置中，通过 DNS 重绑定的任何本地网页——可以静默读取和销毁另一个 Obsidian vault 的笔记、嵌入和插件配置（另见同一产品的 CVE-2026-77363/77364）。
攻击途径
MCP 工具分发从不将调用者控制的 input.vault 值与绑定到调用者的 vault 进行比较；JWT 不携带 vault 声明，文件夹 ACL 是全局的。一个 vault 的有效令牌会发送一个命名另一个 vault 的请求，受影响的读取/写入/删除操作将作用于目标 vault 的文件。
受影响系统
obsidian-tc (The-40-Thieves) < 1.3.1
缓解措施
升级到 obsidian-tc 1.3.1（提交 38b4992e87dc...，PR #72）。该修复将令牌和请求上下文绑定到 vault，并在范围检查之前拒绝不匹配的 input.vault。