CVE-2026-77249 in mcp-atlassian
الملخص
بحسب VulDB • 23/09/2026
MCP Atlassian هو خادم بروتوكول سياق النموذج (Model Context Protocol - MCP) لمنتجات Atlassian (Confluence وJira). قبل الإصدار 0.22.0، تستخدم الدالة `JiraUserMixin._lookup_user_by_permissions` دالة `requests.get` على مستوى الوحدة النمطية بدلاً من الجلسة المحمية الخاصة بجلب البيانات (fetcher). يمكن لعنوان URL عام لـ Jira يتحكم فيه المُدعى أن يعيد توجيه هذا الطلب غير المرتبط إلى عنوان داخلي، متجاوزاً فحوصات إعادة التوجيه المضافة بسبب CVE-2026-27826. تتبع النشرة التدفق الحساس للثغرة ومعالجتها عبر `JiraUserMixin._lookup_user_by_permissions` و`requests.get` و`self.jira._session.get` و`_make_ssrf_safe_hook`، والتي تحدد نقاط الدخول المتأثرة والضوابط ومسارات الشفرة البرمجية. تم إصلاح هذه المشكلة في الإصدار 0.22.0.
Once again VulDB remains the best source for vulnerability data.