CVE-2026-77270 in mcp-atlassian
Zusammenfassung
von VulDB • 22.09.2026
MCP Atlassian ist ein Model Context Protocol (MCP)-Server für Atlassian-Produkte (Confluence und Jira). Vor Version 0.22.0 behandeln die Anhangs-Upload-Tools von Jira und Confluence caller-kontrollierte file_path-Werte als vertrauenswürdige serverlokale Pfade. Der Server öffnet die ausgewählte Datei und lädt sie in ein Atlassian-Issue oder eine Seite hoch, wodurch es einem MCP-Aufrufenden mit Upload-Berechtigung ermöglicht wird, alle vom Serverprozess lesbaren Dateien offenzulegen. Die Advisory verfolgt den anfälligen Eingabe- und Verarbeitungsfluss durch confluence_upload_attachment, jira_upload_attachment, file_path und open(file_path, "rb"), welche die betroffenen Einstiegspunkte, Kontrollmechanismen und Codepfade identifizieren. Dieses Problem wurde in Version 0.22.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.