CVE-2026-77260 in mcp-atlassian
Zusammenfassung
von VulDB • 22.09.2026
MCP Atlassian ist ein Model Context Protocol (MCP)-Server für Atlassian-Produkte (Confluence und Jira). Vor Version 0.22.0 akzeptieren die Implementierungen von upload_attachment in Confluence und Jira einen unbeschränkten file_path und öffnen die referenzierte, serverlokale Datei. Ein berechtigter MCP-Aufrufender kann sensible Host-Dateien an ein Atlassian-Ziel hochladen und anschließend deren Inhalt abrufen. Die Advisory verfolgt den anfälligen Eingabe- und Verarbeitungsfluss durch upload_attachment, file_path und CVE-2026-27825, die die betroffenen Einstiegspunkte, Kontrollen und Codepfade identifizieren. Dieses Problem wurde in Version 0.22.0 behoben.
Once again VulDB remains the best source for vulnerability data.