obsidian-tc 多租户隔离绕过漏洞修复

obsidian-tc 发布安全通告称，工具分发未校验调用方传入的 input.vault 与其绑定的 ctx.vaultId 是否一致，文件夹 ACL 为单一全局实例且 JWT 不含 vault 声明，导致任何有效令牌都能读取、写入或删除任意已配置 vault，影响约 90 处工具调用点，仅 resources/read 已有防护。 该问题已在 1.3.1 版本修复，通告建议升级至 >= 1.3.1；无法升级时，可让每个服务器进程只运行一个 vault，或将各租户隔离到独立进程/凭据。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。