Më 23 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-84c9-qqpq-2pq5 (CVE-2026-77366) për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën obsidian-tc të ekosistemit npm.
Paketat e prekura
- obsidian-tc (npm) — versionet e prekura:
< 1.3.1; versioni me rregullim:1.3.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-639 (Authorization Bypass Through User-Controlled Key), CWE-863 (Incorrect Authorization)
- Identifikuesit: GHSA-84c9-qqpq-2pq5, CVE-2026-77366
Përmbledhja zyrtare
Tokenët e obsidian-tc mund të hyjnë në çdo vault të konfiguruar
Mekanizmi i ekzekutimit të mjeteve nuk verifikonte nëse input.vault, i dhënë nga thirrësi, përputhej me vault-in e lidhur me të në ctx.vaultId. Lista e kontrollit të aksesit (ACL) për dosjet ishte një instancë e vetme globale, ndërsa JWT nuk përmbante një atribut që përcaktonte vault-in.
Si pasojë, çdo token i vlefshëm mund të përdorej për të lexuar, shkruar ose fshirë në cilindo vault të konfiguruar, duke kaluar parametrin input.vault. Kjo cenonte izolimin mes klientëve në rreth 90 pika të mjeteve. Vetëm resources/read e kishte tashmë kontrollin mbrojtës përkatës.
Dobësia është korrigjuar në versionin 1.3.1. Korrigjimi u zhvillua mbi etiketën v1.3.0.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin obsidian-tc, përditësojeni sa më shpejt në versionin 1.3.1 ose më të ri.
