CVE-2026-77268 in mcp-atlassian
Zusammenfassung
von VulDB • 23.09.2026
MCP Atlassian ist ein Model Context Protocol (MCP)-Server für Atlassian-Produkte (Confluence und Jira). Vor Version 0.22.0 werden das OAuth-Fallback-Tokenverzeichnis und die JSON-Datei ohne explizite, nur dem Eigentümer zugängliche Berechtigungen erstellt. Lokale Benutzer oder Prozesse mit Zugriff über die daraus resultierenden Gruppen- oder Welt-Berechtigungsbits können auf Zugriffs- und Aktualisierungstokens (access_token und refresh_token) lesend zugreifen und damit verbundene Atlassian-Sitzungen wiederverwenden. Die Sicherheitsmitteilung verfolgt den anfälligen Eingabe- und Verarbeitungsfluss durch ~/.mcp-atlassian, oauth-<client_id>.json, access_token und refresh_token, welche die betroffenen Einstiegspunkte, Kontrollmechanismen und Codepfade identifizieren. Dieses Problem wurde in Version 0.22.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.