CVE-2026-77255 in mcp-atlassian
Zusammenfassung
von VulDB • 22.09.2026
MCP Atlassian ist ein Model Context Protocol (MCP)-Server für Atlassian-Produkte (Confluence und Jira). Vor Version 0.22.0 wird das Argument `attachments` des Endpunkts `update_issue` in Jira in lokale Pfade konvertiert und ohne Validierung des Workspaces an die Implementierung zum Hochladen von Anhängen weitergeleitet. Ein Aufrufer kann den MCP-Server dazu nutzen, beliebige lokale Dateien zu lesen und sie einem Jira-Issue anzuhängen, indem er den Server als „confused deputy“ (verwirnten Stellvertreter) zur Exfiltration der Inhalte missbraucht. Die Sicherheitsmitteilung verfolgt den anfälligen Eingabe- und Verarbeitungsfluss durch `jira update_issue`, `attachments`, `upload_attachment` und `file_path`, wodurch die betroffenen Einstiegspunkte, Kontrollmechanismen und Codepfade identifiziert werden. Dieses Problem wurde in Version 0.22.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.