CVE-2026-77363 [重大] obsidian-tcのHTTP通信機能には、Origin/DNS-rebinding保護が不足しており、これにより、ローカル環境で不正なアクセスが行われる可能性があります。

obsidian-tcのHTTP転送機能には、Origin/DNSリバインディング保護が不足しており、これにより、ローカル環境での不正なアクセスが可能になる可能性があります。

### 影響
Streamable HTTP転送機能は、`enableDnsRebindingProtection`、`allowedHosts`、`allowedOrigins`の設定が適切に行われず、`Origin`ヘッダーの検証も行われていませんでした。ドキュメントに記載されているように、デフォルトで`auth.mode: "none"`が設定されている場合、悪意のあるウェブページが**`http://127.0.0.1/mcp`へのPOSTリクエストを送信し、`http-local`という呼び出し元で、スコープが`["*"]`の権限（完全なVaultの読み取り/書き込み権限）を取得する`ことが、DNSリバインディングや偽装されたOriginヘッダーによって可能になります。

### 修正
**1.3.1**で修正されました。バージョン1.3.1以降にアップグレードしてください。転送機能は、DNSリバインディング保護を有効にし、許可されたホスト/オリジンを設定し、無効なOriginヘッダーに対してHTTP 403エラーを返します（MCP 2025-11-25）。

### 対策
HTTP転送機能を`auth.mode: "none"`で公開しないでください。JWT認証を必須にするか、`Origin`を検証するプロキシの背後にある非ローカルインターフェースにバインドしてください。

影響を受けるパッケージ：
- npm (JavaScript) obsidian-tc: 1.3.1より前のバージョンに影響があり、1.3.1で修正されました。