obsidian-tc Bridge 工具越权读取笔记数据

obsidian-tc 的 Bridge 工具存在读取 ACL 绕过漏洞：工具结果只对 `items` 数组按读取 ACL 过滤，同级字段未过滤，导致调用方可推断或读取其读取 ACL 之外的笔记数据。GitHub 安全公告库（GHSA）称，`tasks_filter` 的 `groups` 计数、`makemd_query` 的 `...result` 同级字段及 `list_templates` 枚举的 Templater 模板路径均可泄露这类数据。 该漏洞已在 1.3.1 版本修复。GHSA 同时建议，在无法升级时可通过工具可见性设置禁用受影响的 `tasks_filter`、`makemd_query`、`list_templates` 三个 Bridge 工具。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。