CVE-2026-115477

اسم البرنامج المصاب والإصدارات المتأثرة obsidian-tc الإصدارات من 1.13.0 إلى 1.31.3

Description في عمليات نشر Streamable HTTP التي تم تكوين auth.jwtSecret فيها، يوجد خلل يسمح بتنفيذ استدعاءات الأدوات ذات التوزيع المقيد (المحددة بـ destructive: true أو التي تتطلب تدخلًا بشريًا) دون موافقة بشرية فعلية. إذا صرح العميل بدعم elicitation.form ، فقد يثق الخادم في requestState المرتبط بشكل صحيح كدليل على الموافقة أثناء إعادة الإرسال، حتى لو رفض الإنسان أو ألغى أو قدم استجابة مشوهة. يحدث هذا لأن requestState يتم إنشاؤه قبل طلب الاستيضاح، مما يثبت فقط أن إعادة الإرسال تنتمي إلى نفس الاستدعاء وليس تأكيد الموافقة. يمكن للمهاجم أو عميل يعمل بشكل خاطئ استغلال ذلك لتنفيذ عمليات تدميرية في الخزنة، مثل حذف الملاحظات، أو النقل بين المجلدات، أو استبدال البيانات الوصفية (frontmatter)، أو إعادة كتابة الروابط، بشرط امتلاكهم لأذونات الأدوات العادية.

Recommendations تحديث obsidian-tc إلى الإصدار 1.31.4. كإجراء مؤقت، قم بتشغيل عمليات النشر عبر stdio أو اترك auth.jwtSecret غير محدد لفرض استخدام مسار elicit token الخاص بواجهة سطر الأوامر (CLI) وتعطيل ترميز requestState.