CVE-2023-27035

CVE-2023-27035 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N 취약점 유형: 잘못된 접근 제어 설명: Obsidian Canvas 1.1.9에서 발견된 문제로, 원격 공격자가 캔버스 페이지에 삽입된 웹사이트를 통해 데스크톱 알림 전송, 사용자 오디오 녹음 및 기타 명시되지 않은 영향을 발생시킬 수 있습니다. 영향: 악성 삽입 웹사이트는 사용자의 허가나 인지 없이 Obsidian 애플리케이션의 민감한 웹 API에 접근할 수 있습니다. 예를 들어, 사용자가 알지 못하거나 명시적 권한을...

obsidian-osint-templates

obsidian-osint-templates !info 라이선스 Copyright c 2024 Micah Hoffman 이 저작물은 크리에이티브 커먼즈 저작자표시-동일조건변경허락 4.0 국제 라이선스에 따라 이용할 수 있습니다. 이 라이선스의 사본을 보려면 http://creativecommons.org/licenses/by-sa/4.0/을 방문하거나 크리에이티브 커먼즈, PO Box 1866, Mountain View, CA 94042, USA로 서신을 보내십시오. Obsidian이란 무엇인가? Obsidian이 무엇이고 어...

TJ-OPT

TJ-OPT 릴리스 날짜 2024년 9월 9일 소개 펜테스터로서 유용한 정보를 많이 담고 있는 훌륭한 리소스, 치트 시트, 가이드라인이 많이 있습니다. 하지만 여기저기 흩어져 있는 이러한 메모나 리소스를 찾는 일은 답답하고 시간이 많이 걸릴 수 있습니다. 여러 가지 메모 도구를 사용하여 시스템 전체에 로컬로 저장해 둔 방대한 양의 메모는 말할 것도 없습니다. 게다가 일부 펜테스터는 폐쇄된 환경에서 진행되는 진단 업무를 맡아 장치에 있는 메모와 파일을 전송하기가 더 어려울 수도 있습니다. 과거에는 Joplin으로 메모를 관리했지...

CVE-2021-45008

CVE-2021-45008 사용자에서 관리자로의 권한 상승 영향을 받는 제품 및 버전: Plesk Obsidian 18.0.37 심각도: 치명적Critical 영향: 사용자에서 관리자로 높은 권한을 획득하고 중요한 정보에 접근할 수 있음 설명: 권한이 없는 사용자가 관리자 권한을 얻을 수 있게 하는 안전하지 않은 권한 취약점. 재현 단계: 1. 낮은 역할의 사용자 계정으로 로그인 2. Burp로 요청을 캡처 3. Super admin 플래그 매개변수가 false인 것을 확인 4. 로그인 요청을 전달Forward 5. 이제...

CVE-2021-45007

CVE-2021-45007 사이트 간 요청 위조CSRF 영향을 받는 제품 및 버전: Plesk Obsidian 18.0.37 심각도: 높음 영향: 공격자의 정보로 요청 제출 설명: 서버로 전송되는 요청에 CSRFtoken 보호가 없기 때문에 CSRF를 통해 공격자가 새로운 요청을 제출할 수 있습니다. 재현 단계: 1. 로그인 후 아무 요청이나 제출을 시도합니다. 2. Burp Suite로 요청을 캡처합니다. 3. 서버로 전송되는 요청에 토큰 보호가 없다는 것을 확인할 수 있습니다. 4. 요청을 제출하기 위한 간단한 HTML...

CVE-2024-3094

CVE-2024-3094 저는 제 노트를 Obsidian에서 별도의 vault와 이 GitHub 저장소로 옮겨 공유할 수 있게 했습니다. 시작 페이지는 CVE-2024-3094 xz 공급망입니다. 설치 git으로 저장소를 클론하세요. root@kitploit: git clone https://github.com/reuteras/CVE-2024-3094.git 그런 다음 체크아웃한 폴더를 Obsidian의 vault로 엽니다...

CVE-2026-19331

A vulnerability was identified in bazylhorsey obsidian-mcp-server 1.0.0. This affects the function readCanvas/writeCanvas of the file src/services/CanvasService.ts. Such manipulation leads to path traversal. An attack has to be approached locally. The project was informed of the problem early...

CVE-2026-19331

A vulnerability was identified in bazylhorsey obsidian-mcp-server 1.0.0. This affects the function readCanvas/writeCanvas of the file src/services/CanvasService.ts. Such manipulation leads to path traversal. An attack has to be approached locally. The project was informed of the problem early...

CVE-2026-19331

Technical details about CVE-2026-19331 are not publicly available in the provided documents. Monitor for updates from the disclosure or vendor advisories.

CVE-2026-19331 bazylhorsey obsidian-mcp-server CanvasService.ts writeCanvas path traversal

A vulnerability was identified in bazylhorsey obsidian-mcp-server 1.0.0. This affects the function readCanvas/writeCanvas of the file src/services/CanvasService.ts. Such manipulation leads to path traversal. An attack has to be approached locally. The project was informed of the problem early...

EUVD-2026-54868

A vulnerability was identified in bazylhorsey obsidian-mcp-server 1.0.0. This affects the function readCanvas/writeCanvas of the file src/services/CanvasService.ts. Such manipulation leads to path traversal. An attack has to be approached locally. The project was informed of the problem early...

CVE-2026-64636

An SQL injection vulnerability in Plesk Obsidian up to 18.0.80 for Linux and Windows allows an authenticated user to read arbitrary data from the panel database...

EUVD-2026-54562

An SQL injection vulnerability in Plesk Obsidian up to 18.0.80 for Linux and Windows allows an authenticated user to read arbitrary data from the panel database...

CVE-2026-64636

CVE-2026-64636 affects Plesk Obsidian up to version 18.0.80 on Linux and Windows. An SQL injection vulnerability allows an authenticated user to read arbitrary data from the panel database. According to the connected sources, the issue has a CVSS v3.1 base score of 7.7 (HIGH), with attack vector ...

CVE-2026-64636

An SQL injection vulnerability in Plesk Obsidian up to 18.0.80 for Linux and Windows allows an authenticated user to read arbitrary data from the panel database...

PYSEC-2026-1568 LlamaIndex is vulnerable to Path Traversal attack through its ObsidianReader class

A vulnerability in the ObsidianReader class in LlamaIndex Readers Integration: Obsidian before version 0.5.1 from the run-llama/llamaindex repository versions 0.12.23 to 0.12.28 allows for arbitrary file read through symbolic links. The ObsidianReader fails to resolve symlinks to their real paths...

MCPVault: PathFilter restricted directories (.git/.obsidian/node_modules) only denied at vault root, not nested

PathFilter's deny-list glob patterns are anchored, so .git, .obsidian, and nodemodules were only blocked at the vault root. Nested copies inside the vault e.g. tools/cli/nodemodules/..., tools/somerepo/.git/config, a nested .obsidian/ were fully traversable via isAllowed/isAllowedForListing...

CVE-2026-42889

Summary (CVE-2026-42889): Relay Server (used with Obsidian) versions 0.9.0–0.9.6 contain an authentication bypass in the multi-document WebSocket endpoints. When authentication is configured, WebSocket connections without a token query parameter were treated as having full server permissions, all...

CVE-2026-42889 Relay Server WebSocket authentication bypass when token is omitted

Relay adds real-time collaboration to Obsidian. Relay Server versions 0.9.0 through 0.9.6 contain an authentication bypass in the multi-document WebSocket endpoints. When authentication is configured, WebSocket connections without a token query parameter were incorrectly treated as having full...

EUVD-2026-29792

Relay adds real-time collaboration to Obsidian. Relay Server versions 0.9.0 through 0.9.6 contain an authentication bypass in the multi-document WebSocket endpoints. When authentication is configured, WebSocket connections without a token query parameter were incorrectly treated as having full...