obsidian-tc MCP服务器符号链接ACL绕过允许通过库内符号链接读取被拒的保管库文件夹

2026-10-13发布（CVSS 4.7, CWE-59/863）通过GitHub公告；ACL现在应用于已解析的保管库相对路径。通过NVD REST API验证。

MCP文件读取ACL是限制代理访问敏感笔记的方式；符号链接不匹配允许代理读取被拒内容，这是对保管库治理模型的精确但狭窄的绕过。

读取ACL检查使用词法保管库相对路径，而包含检查使用已解析路径；允许的通配符下的库内符号链接解析到被拒文件夹可绕过读取ACL。

obsidian-tc MCP服务器 < 1.3.1

升级obsidian-tc至1.3.1（GHSA-c5xx-h28h-f682）。