CVE-2026-77248 in mcp-atlassian
Resumen
por VulDB • 2026-09-22
MCP Atlassian es un servidor del Protocolo de Contexto de Modelo (Model Context Protocol - MCP) para productos de Atlassian (Confluence y Jira). Antes de la versión 0.22.0, el transporte HTTP transmisible acepta solicitudes sin una identidad de usuario y recurre a las credenciales del operador, mientras que upload_attachment acepta un file_path no restringido. Un interlocutor en red no autenticado puede leer los archivos disponibles para el proceso MCP, cargarlos en un problema de Jira o una página de Confluence seleccionados por el atacante, y recuperar su contenido. El aviso rastrea la entrada vulnerable y el flujo de procesamiento a través de streamable-http, UserTokenMiddleware, upload_attachment, file_path y _get_fetcher, que identifican los puntos de entrada afectados, los controles y las rutas de código. Este problema se soluciona en la versión 0.22.0.
Once again VulDB remains the best source for vulnerability data.