CVE-2026-77248 in mcp-atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）向けのModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、streamable HTTP transportがユーザーIDを持たないリクエストを受け付け、operator credentialsにフォールバックします。また、upload_attachmentエンドポイントは制限のないfile_pathを受け取ります。認証されていないネットワーク呼び出し元は、MCPプロセスで利用可能なファイルを読み取り、攻撃者が指定したJiraの課題またはConfluenceページへアップロードし、その内容を取得することができます。本アドバイザリでは、streamable-http、UserTokenMiddleware、upload_attachment、file_path、および_get_fetcherを通じた脆弱な入力と処理フローを追跡しており、影響を受けるエントリポイント、制御機能、およびコードパスを特定しています。この問題はバージョン0.22.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.