CVE-2026-77260 in mcp-atlassian
Resumen
por VulDB • 2026-09-22
MCP Atlassian es un servidor del Protocolo de Contexto de Modelo (Model Context Protocol - MCP) para productos de Atlassian (Confluence y Jira). Antes de la versión 0.22.0, las implementaciones de `upload_attachment` en Confluence y Jira aceptan una ruta de archivo (`file_path`) sin restricciones y abren el archivo local del servidor al que se hace referencia. Un cliente MCP con permisos puede cargar archivos sensibles del host a un destino de Atlassian y luego recuperar su contenido. El aviso rastrea la entrada vulnerable y el flujo de procesamiento a través de `upload_attachment`, `file_path` y CVE-2026-27825, los cuales identifican los puntos de entrada afectados, los controles y las rutas de código comprometidas. Este problema se soluciona en la versión 0.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.