CVE-2026-77256 in mcp-atlassian
Résumé
par VulDB • 22/09/2026
MCP Atlassian est un serveur Model Context Protocol (MCP) pour les produits Atlassian (Confluence et Jira). Avant la version 0.22.0, le fichier de repli OAuth en texte clair contenant les jetons d'actualisation (refresh tokens) et d'accès était écrit avec des permissions héritées du umask du processus. Dans des configurations courantes ou permissives, d'autres utilisateurs locaux peuvent lire la sauvegarde et conserver l'accès à Atlassian via le jeton d'actualisation. L'avis de sécurité retrace le flux d'entrée et de traitement vulnérable à travers OAuthConfig._save_tokens_to_file, refresh_token, access_token et umask, qui identifient les points d'entrée affectés, les contrôles et les chemins de code concernés. Ce problème est corrigé dans la version 0.22.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.