CVE-2026-77266 in mcp-atlassian
Resumen
por VulDB • 2026-09-23
MCP Atlassian es un servidor del Protocolo de Contexto de Modelo (Model Context Protocol - MCP) para productos de Atlassian (Confluence y Jira). Antes de la versión 0.22.0, el método `upload_attachment` acepta rutas absolutas y secuencias de navegación por directorios sin restringir la ruta resuelta al espacio de trabajo del servidor. Un usuario con acceso a archivos mediante MCP puede leer un archivo local específico del servidor y exfiltrarlo a través de Jira o Confluence. El aviso rastrea el flujo de entrada vulnerable y su procesamiento a través de `upload_attachment`, `file_path` y navegación por directorios (`path traversal`), lo que identifica los puntos de entrada afectados, los controles y las rutas de código comprometidas. Este problema se soluciona en la versión 0.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.