CVE-2026-115478

obsidian-tc to zarządzany, gotowy do obsługi agenta serwer Model Context Protocol dla skarbców Obsidian. Od wersji 1.0.1 do 1.31.4 polecenia `create_entity`, `link_entities`, `rename_entity`, `unlink_entities` i `delete_entity` ponownie generują notatki pamięci z SQLite w obliczonej ścieżce `memory/<type>/<name>.md` bez niezawodnego zachowywania własności notatki lub spójności nieudanej operacji w cyklu życia. Podczas wspólnej materializacji, ręcznie napisana notatka lub sierota pozostawiona przez inną istotę, której imię zostało dostosowane do tej samej ścieżki, może zostać nadpisana w całości przy następnym zapisie, podając ten typ i imię, z zachowaniem nienależącej do niej treści. `rename_entity` również zapełnił ścieżkę docelową bezpośrednim zapisem atomowym bez sprawdzania własności i mógł zastąpić tam obcą notatkę. Niezależnie, kilka narzędzi zmutowało SQLite, zanim zaczął działać wadliwy system plików: `create_entity` i `link_entities` wstawiały wiersz lub relację przed materializacją; `rename_entity` zaktualizowało jednostkę, włączając status wycofanego, przed aktualizacją jej notatki; `unlink_entities` usunął relację przed ponownym zmaterializowaniem notatki źródłowej; i kaskada „delete_entity” usunęła cel i jego relacje przed ponownym zmaterializowaniem sąsiednich notatek. Dlatego późniejsza awaria systemu plików może spowodować zmianę wiersza lub relacji i wykres pamięci niezgodny z notatkami na dysku, nawet jeśli operacja się nie powiodła. Autoryzowana osoba wywołująca z wymaganymi uprawnieniami narzędzia pamięci może, nie mając zamiaru, zniszczyć treści notatki skarbca poza zapisywaną jednostką; `delete_entity` dodatkowo wymaga pozwolenia na usunięcie i destrukcyjnego potwierdzenia, czego ta wada pamięci nie omija. Migawki przed zapisem za pomocą `restore_note` ograniczają nadpisywanie tylko wtedy, gdy włączone są migawki, a notatka została wcześniej zapisana za pomocą obsidian-tc. Ten problem został rozwiązany w wersji 1.31.4.