Obsidian Desktop: Remote Code Execution über MathJax-Filterumgehung
Zusammenfassung
Obsidian Desktop vor 1.14.0 enthält eine Filterumgehung in der mitgelieferten MathJax-Komponente, die durch eine präparierte Formel in einer Markdown-Notiz ausgelöst werden kann. Ein TAB-Byte im URL-Schema von \href führt dazu, dass ein javascript:-Link die safeProtocols-Prüfung passiert. Da der Notiz-Renderer mit aktivierter Node-Integration und deaktivierter Context Isolation läuft, können bei einem Opfer, das den gerenderten Link in Live Preview anklickt, beliebige Betriebssystembefehle mit den Rechten des Benutzers ausgeführt werden.
Betroffen
- Obsidian Desktop-Versionen vor 1.14.0 (gemäss CNA-Eintrag; einzelne Quellen nennen bis 1.13.x)
- Mitgelieferte MathJax 3.2.2 Safe-Komponente
Behoben in
- Behoben ab 1.14.4 oder neuer gemäss Changelog des Herstellers, auf den die Recherche verweist; die genaue erste behobene Version ist nicht bestätigt
- Aktuelle Version gemäss Recherchenotizen: 1.14.5
Umgehung
- Unbekannt. Für Versionen vor 1.14 wurde kein vom Hersteller veröffentlichter Workaround gefunden.
- Notizen und Vaults aus unsicheren Quellen bis zum Update nicht öffnen.
Ausnutzung
- Nicht als aktiv ausgenutzt (KEV) gelistet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.17%.
- Es existiert eine öffentliche technische Beschreibung; Hinweise auf Ausnutzung in freier Wildbahn fehlen.
Unsere Empfehlung
- Obsidian Desktop auf die aktuelle Version (mindestens 1.14.4) über den Hersteller-Download oder Ihr Softwareverteilungs-Tool aktualisieren.
- Obsidian-Installationen prüfen, die über Paketmanager oder Container-Images bereitgestellt werden, da diese der Herstellerversion hinterherhinken können.
- Systeme priorisieren, auf denen geteilte, synchronisierte oder extern erhaltene Vaults und Notizen geöffnet werden.
- Benutzer bis zum Patch darauf hinweisen, keine unerwarteten Links in unsicheren Notizen anzuklicken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CodeAnt security research: From Markdown to a Shell codeant.ai
- Obsidian changelog 1.14.4 (2026-10-05) obsidian.md
- VulnCheck advisory: Obsidian Desktop RCE via MathJax Safe filter bypass www.vulncheck.com
- VulDB entry CVE-2026-104078 vuldb.com
- Strix CVE-2026-104078 www.strix.ai
- Threatint CVE-2026-104078 cve.threatint.com
- Obsidian releases on GitHub github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.