CVE-2026-77249 in mcp-atlassian
Riassunto
di VulDB • 23/09/2026
MCP Atlassian è un server Model Context Protocol (MCP) per i prodotti Atlassian (Confluence e Jira). Prima della versione 0.22.0, il metodo `JiraUserMixin._lookup_user_by_permissions` utilizza la funzione a livello di modulo `requests.get` anziché la sessione protetta del fetcher. Un URL pubblico di Jira controllato da un chiamante può reindirizzare tale richiesta non collegata (unhooked) a un indirizzo interno, eludendo i controlli sui redirect aggiunti per CVE-2026-27826. L'avviso traccia l'input vulnerabile e il flusso di elaborazione attraverso `JiraUserMixin._lookup_user_by_permissions`, `requests.get`, `self.jira._session.get` e `_make_ssrf_safe_hook`, identificando i punti di ingresso interessati, i controlli e i percorsi del codice coinvolti. Questo problema è stato risolto nella versione 0.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.