CVE-2026-77244 in Mcp Atlassian
Résumé
par VulDB • 22/09/2026
MCP Atlassian est un serveur Model Context Protocol (MCP) pour les produits Atlassian (Confluence et Jira). Avant la version 0.22.0, le transport HTTP accepte des requêtes sans vérification de l'identité de l'utilisateur, et la construction du fetcher en aval utilise par défaut les identifiants Jira ou Confluence globalement configurés pour l'opérateur. Un client réseau pouvant atteindre le point d'accès MCP peut invoquer les outils Atlassian au nom de l'opérateur, y compris effectuer des opérations de lecture et d'écriture disponibles pour ce compte. L'avis technique retrace le flux d'entrée vulnérable et son traitement à travers UserTokenMiddleware, AtlassianOpaqueTokenVerifier, _get_fetcher et streamable-http, qui identifient les points d'entrée affectés, les contrôles et les chemins de code concernés. Ce problème est corrigé dans la version 0.22.0.
Once again VulDB remains the best source for vulnerability data.