CVE-2026-77250 in MCP Atlassian
Zusammenfassung
von VulDB • 23.09.2026
MCP Atlassian ist ein Model Context Protocol (MCP)-Server für Atlassian-Produkte (Confluence und Jira). Vor Version 0.22.0 schreibt OAuthConfig eine Klartext-Fallback-Datei, die Zugriffs- und Aktualisierungstokens enthält, im Benutzerverzeichnis .mcp-atlassian unter Verwendung der prozessstandardmäßigen Berechtigungen. Auf Systemen mit einer permissiven umask können lokale Benutzer und Prozesse derselben Gruppe oder andere lokale Nutzer diese persistierten Tokens lesen und den damit verbundenen Atlassian-Zugriff wiederverwenden. Die Advisory verfolgt den anfälligen Eingabe- und Verarbeitungsfluss durch OAuthConfig._save_tokens, ~/.mcp-atlassian/oauth-<client_id>.json, access_token und refresh_token, wodurch die betroffenen Einstiegspunkte, Kontrollmechanismen und Codepfade identifiziert werden. Dieses Problem wurde in Version 0.22.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.