CVE-2026-115477

obsidian-tc jest zarządzanym, gotowym do działania agentem serwerem Model Context Protocol dla skarbców Obsidian. Od wersji 1.13.0 do 1.31.4 w przypadku wdrożenia Streamable HTTP ze skonfigurowaną opcją „auth.jwtSecret” i klientem z ery 2026-07-28 deklarującym obsługę „elicitation.form”, wywołanie narzędzia bramkowanego wysyłkowo oferowało potwierdzenie „inputRequired” nadal mogło zostać zakończone po odrzuceniu lub anulowaniu przez człowieka albo odpowiedzi wywołującej została pominięta lub zniekształcona, pod warunkiem, że klient powtórzył prawidłowo powiązany „requestState” przy ponownym przesłaniu. Serwer uznawał autentyczny stan związany z wywołaniem za dowód zatwierdzenia, mimo że stan ten został utworzony przed żądaniem części „wywołanie/tworzenie” i udowodnił jedynie, że ponowne przesłanie należało do tego samego wywołania. Klient zachowujący się nieprawidłowo lub znajdujący się pod kontrolą osoby atakującej może zatem wykonać destrukcyjne operacje w skarbcu bramkowanym przez dyspozytora bez zgody człowieka, nadal wymagając zwykłych uprawnień narzędzia dzwoniącego. Przez to obejście można było dotrzeć tylko do narzędzi oznaczonych jako „niszczące: prawdziwe” lub wymagających lunety z podłogą typu „człowiek w pętli”. Szesnaście warunkowo bramkowanych narzędzi po stronie obsługi, w tym nadpisywanie `write_note` i `move_note`, nie odczytywało stanu wywołania na nowoczesnym kablu i nie przepuszczało tej ścieżki ani zatwierdzenia, ani odrzucenia. Wdrożenia, których to dotyczy, używające stdio lub pozostawiające nieustawioną opcję `auth.jwtSecret`, zamiast tego korzystały z rezerwowego rozwiązania CLI `elicit_token` i nie oferowały tej operacji w obie strony `requestState`. Poprawka nie uniemożliwia złośliwemu klientowi zgłaszania sfabrykowanej zgody, ponieważ serwer nie może zweryfikować, czy klient wyświetlił formularz lub czy widział go człowiek. Ten problem został rozwiązany w wersji 1.31.4.