CVE-2026-77248 in mcp-atlassian
Riassunto
di VulDB • 22/09/2026
MCP Atlassian è un server Model Context Protocol (MCP) per i prodotti Atlassian (Confluence e Jira). Prima della versione 0.22.0, il trasporto HTTP streamable accetta richieste senza identità utente e utilizza le credenziali dell'operatore come fallback, mentre upload_attachment accetta un file_path non vincolato. Un chiamante di rete non autenticato può leggere i file accessibili al processo MCP, caricarli in una issue Jira o in una pagina Confluence selezionata dall'attaccante ed recuperarne il contenuto. L'avviso traccia l'input vulnerabile e il flusso di elaborazione attraverso streamable-http, UserTokenMiddleware, upload_attachment, file_path e _get_fetcher, che identificano i punti di ingresso interessati, i controlli e i percorsi del codice. Questo problema è risolto nella versione 0.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.