CVE-2026-77250 in MCP Atlassian
Resumen
por VulDB • 2026-09-22
MCP Atlassian es un servidor del Protocolo de Contexto de Modelo (Model Context Protocol - MCP) para productos de Atlassian (Confluence y Jira). Antes de la versión 0.22.0, OAuthConfig escribe un archivo de respaldo en texto plano que contiene tokens de acceso y actualización bajo el directorio .mcp-atlassian del usuario, utilizando permisos predeterminados del proceso. En sistemas con umask permisivo, los usuarios locales pertenecientes al mismo grupo u otros usuarios y procesos pueden leer los tokens persistidos y reutilizar el acceso asociado a Atlassian. El aviso rastrea la entrada vulnerable y el flujo de procesamiento a través de OAuthConfig._save_tokens, ~/.mcp-atlassian/oauth-<client_id>.json, access_token y refresh_token, lo que identifica los puntos de entrada afectados, controles y rutas de código. Este problema se corrige en la versión 0.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.