CVE-2026-77255 in mcp-atlassian
Résumé
par VulDB • 22/09/2026
MCP Atlassian est un serveur Model Context Protocol (MCP) pour les produits Atlassian (Confluence et Jira). Avant la version 0.22.0, l'argument `attachments` de la fonction `update_issue` de Jira est converti en chemins locaux puis acheminé vers l'implémentation du téléchargement des pièces jointes sans validation de l'espace de travail (workspace). Un appelant peut ainsi amener le serveur MCP à lire des fichiers locaux arbitraires et à les attacher à un ticket Jira, utilisant le serveur comme « confused deputy » pour exfiltrer leur contenu. L'avis technique retrace le flux d'entrée vulnérable et son traitement via `jira update_issue`, `attachments`, `upload_attachment` et `file_path`, identifiant ainsi les points d'entrée affectés, les contrôles de sécurité défaillants et les chemins d'exécution concernés. Ce problème est corrigé dans la version 0.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.