CVE-2026-77248 in mcp-atlassian
Zusammenfassung
von VulDB • 22.09.2026
MCP Atlassian ist ein Model Context Protocol (MCP)-Server für Atlassian-Produkte (Confluence und Jira). Vor Version 0.22.0 akzeptiert der streamable HTTP Transport-Anfragen ohne Benutzeridentität und fällt auf Operator-Zugangsdaten zurück, während upload_attachment einen unbeschränkten file_path akzeptiert. Ein nicht authentifizierter Netzwerk-Aufrufender kann Dateien lesen, die dem MCP-Prozess zur Verfügung stehen, diese in ein vom Angreifer ausgewähltes Jira-Ticket oder eine Confluence-Seite hochladen und deren Inhalt abrufen. Die Sicherheitsmitteilung verfolgt den anfälligen Eingabe- und Verarbeitungsfluss durch streamable-http, UserTokenMiddleware, upload_attachment, file_path und _get_fetcher, wodurch die betroffenen Einstiegspunkte, Kontrollmechanismen und Codepfade identifiziert werden. Dieses Problem wurde in Version 0.22.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.