热点事件持续更新

obsidian-tc HTTP 传输缺少 Origin 校验

1 篇报道1 个报道来源2 小时前更新

先了解这件事

AI 综述

GitHub 安全公告库（GHSA）披露，obsidian-tc 的 Streamable HTTP transport 在构造时未启用 enableDnsRebindingProtection、allowedHosts、allowedOrigins，也不校验 Origin 头。按文档默认的 auth.mode: "none" 回环配置，任意网页可通过 DNS 重绑定或伪造 Origin 向 http://127.0.0.1/mcp 发 POST，获得 caller http-local 和 scopes ["*"]，即完整读写 vault。该问题已在 1.3.1 修复。公告建议不要以 auth.mode: "none" 暴露 HTTP transport，应要求 JWT 认证，或绑定非回环接口并由校验 Origin 的代理前置。

AI 根据报道生成 · 1 小时前更新

最新进展10月24日 02:29

obsidian-tc 的 HTTP transport 缺少 Origin 与 DNS 重绑定防护，可被网页驱动访问本地 vault

报道时间线

沿着报道，了解事件的不同侧面。

10月24日

02:29
GitHub 安全公告库 (GHSA)精选
obsidian-tc 的 HTTP transport 缺少 Origin 与 DNS 重绑定防护，可被网页驱动访问本地 vault
obsidian-tc 的 Streamable HTTP transport 未启用 enableDnsRebindingProtection、allowedHosts、allowedOrigins。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。