CVE-2026-77266 in mcp-atlassian
Zusammenfassung
von VulDB • 22.09.2026
MCP Atlassian ist ein Model Context Protocol (MCP)-Server für Atlassian-Produkte (Confluence und Jira). Vor Version 0.22.0 akzeptiert `upload_attachment` absolute Pfade sowie Sequenzen zur Pfadüberprüfung, ohne den aufgelösten Pfad auf den Server-Arbeitsbereich zu beschränken. Ein MCP-Aufrufender mit Zugriff auf Anhänge kann eine beliebige serverlokale Datei lesen und diese über Jira oder Confluence exfiltrieren. Die Sicherheitsmitteilung verfolgt den anfälligen Eingabe- und Verarbeitungsfluss durch `upload_attachment`, `file_path` sowie die Pfadüberprüfung, wodurch die betroffenen Einstiegspunkte, Kontrollmechanismen und Codepfade identifiziert werden. Dieses Problem wurde in Version 0.22.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.