GitHub 安全公告库 (GHSA)·2026-10-24 02:29· 2 小时前精选AI 评分58

obsidian-tc 的 HTTP transport 缺少 Origin 与 DNS 重绑定防护，可被网页驱动访问本地 vault

obsidian-tc HTTP transport lacks Origin/DNS-rebinding protection, enabling drive-by vault access on loopback

AI 导读

obsidian-tc 的 Streamable HTTP transport 未启用 enableDnsRebindingProtection、allowedHosts、allowedOrigins。

为什么值得看

公告说明了默认回环配置下缺少 Origin 校验会带来什么后果，并给出升级与临时规避两条路径。