Më 23 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-pqh8-4pj7-32xx (CVE-2026-77363) për një dobësi me rrezikshmëri kritike (CVSS 9.6) në paketën obsidian-tc të ekosistemit npm.
Paketat e prekura
- obsidian-tc (npm) — versionet e prekura:
< 1.3.1; versioni me rregullim:1.3.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.6)
- CWE: CWE-346 (Origin Validation Error), CWE-1385 (Missing Origin Validation in WebSockets)
- Identifikuesit: GHSA-pqh8-4pj7-32xx, CVE-2026-77363
Përmbledhja zyrtare
obsidian-tc: Mungesa e mbrojtjes ndaj Origin të falsifikuar dhe DNS rebinding në transportin HTTP mundëson qasje në vault përmes loopback
Transporti Streamable HTTP ishte konfiguruar pa enableDnsRebindingProtection, allowedHosts dhe allowedOrigins dhe nuk verifikonte header-in Origin. Kjo mungesë mbrojtjeje mund të shfrytëzohej nga një faqe uebi për të fituar qasje në vault përmes DNS rebinding ose një Origin të falsifikuar.
Me konfigurimin e dokumentuar të parazgjedhur për loopback, auth.mode: "none", faqja mund të dërgonte një kërkesë POST te http://127.0.0.1/mcp dhe të merrte identitetin http-local me scopes ["*"]. Këto leje mundësonin lexim dhe shkrim të plotë në vault, duke rrezikuar të dhënat e ruajtura aty.
Dobësia është korrigjuar në versionin 1.3.1 dhe rekomandohet përditësimi në këtë version. Transporti tani aktivizon mbrojtjen ndaj DNS rebinding dhe kufizimet për hostet dhe origjinat e lejuara. Kërkesat me një Origin të pavlefshëm refuzohen me përgjigjen HTTP 403.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin obsidian-tc, përditësojeni sa më shpejt në versionin 1.3.1 ose më të ri.
