CVE-2026-27826 in mcp-atlassian
Riassunto
di VulDB • 12/08/2026
MCP Atlassian è un server Model Context Protocol (MCP) per i prodotti Atlassian (Confluence e Jira). Prima della versione 0.17.0, un attaccante non autenticato in grado di raggiungere l'endpoint HTTP `mcp-atlassian` può costringere il processo del server a effettuare richieste HTTP in uscita verso un URL arbitrario controllato dall'attaccante fornendo due intestazioni HTTP personalizzate senza un'intestazione `Authorization`. Non è richiesta alcuna autenticazione. La vulnerabilità risiede nello strato di middleware HTTP e nell'iniezione delle dipendenze — non in alcun gestore degli strumenti MCP — rendendola invisibile all'analisi del codice a livello di strumento. Nelle distribuzioni cloud, ciò potrebbe consentire il furto delle credenziali dei ruoli IAM tramite l'endpoint dei metadati dell'istanza (`169[.]254[.]169[.]254`). In qualsiasi distribuzione HTTP abilita la ricognizione della rete interna e l'iniezione di contenuti controllati dall'attaccante nei risultati degli strumenti LLM. La versione 0.17.0 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.