obsidian-tc 修复符号链接读取 ACL 绕过

obsidian-tc 在 1.3.1 版本中修复了一个读取 ACL 范围绕过漏洞。GitHub 安全公告库称，该漏洞源于 ACL 检查使用词法路径，而包含性判断使用 realpath，导致位于允许 glob 下、realpath 指向被拒目录的库内符号链接可被读取。 公告称，利用该漏洞需要库内存在由外部植入的符号链接（没有 MCP 工具会创建此类链接），且不构成库根目录逃逸。公告建议不要允许库内存在不可信的符号链接。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。