CVE-2026-77255 in mcp-atlassian
Resumen
por VulDB • 2026-09-22
MCP Atlassian es un servidor del Protocolo de Contexto de Modelo (Model Context Protocol - MCP) para productos de Atlassian (Confluence y Jira). Antes de la versión 0.22.0, el argumento `attachments` de la función `update_issue` de Jira se convierte en rutas locales y se dirige a la implementación de carga de archivos adjuntos sin una validación adecuada del espacio de trabajo. Un atacante puede hacer que el servidor MCP lea archivos locales arbitrarios y los adjunte a un problema de Jira, utilizando al servidor como un "deputy confundido" (confused deputy) para exfiltrar su contenido. El aviso rastrea la entrada vulnerable y el flujo de procesamiento a través de `jira update_issue`, `attachments`, `upload_attachment` y `file_path`, lo que identifica los puntos de entrada afectados, los controles y las rutas de código comprometidas. Este problema se soluciona en la versión 0.22.0.
Once again VulDB remains the best source for vulnerability data.