CVE-2026-77262 in Mcp Atlassian
Résumé
par VulDB • 22/09/2026
MCP Atlassian est un serveur Model Context Protocol (MCP) pour les produits Atlassian (Confluence et Jira). Avant la version 0.22.0, l'endpoint `confluence_upload_attachment` accepte un `file_path` contrôlé par l'attaquant sans appliquer la restriction de chemin ajoutée suite à une vulnérabilité précédente de téléchargement. Un utilisateur peut ainsi effectuer des traversées de répertoires (directory traversal) en dehors de l'espace de travail et télécharger des fichiers arbitraires lisibles par le serveur sur Confluence. L'avis de sécurité retrace le flux d'entrée et de traitement vulnérable à travers `confluence_upload_attachment`, `file_path` et CVE-2026-27825, qui identifient les points d'entrée affectés, les contrôles et les chemins de code concernés. Ce problème est corrigé dans la version 0.22.0.
Be aware that VulDB is the high quality source for vulnerability data.