GitHub 安全公告库 (GHSA)·· 3 小时前精选AI 评分58
obsidian-tc 默认文件夹 ACL 失效导致 .obsidian 插件密钥可被读取，1.3.1 修复
obsidian-tc: Default folder ACL is fail-open; .obsidian plugin secrets are readable by default
AI 导读
obsidian-tc 发布安全通告，指出默认配置下未定义 readPaths/writePaths 即等于全部放行，strictReadDefault 标志不生效，且 .obsidian/.git/.trash 控制目录只在枚举时被拒绝，直接请求路径上并未拦截。
为什么值得看
通告说明了默认配置下控制目录未被拦截的成因，并给出 1.3.1 的修复与临时白名单方案。
来源：GitHub 安全公告库 (GHSA) · github.com