CVE-2026-77250 in MCP Atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）向けのModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、OAuthConfigがユーザーの.mcp-atlassianディレクトリ配下に、アクセストークンと更新トークンを含むプレーンテキストのフォールバックファイルを、プロセスデフォルトの権限で書き込みます。パーミッシブなumaskを持つシステム上では、同じグループに属するローカルユーザーや他のプロセスが永続化されたトークンを読み取り、関連するAtlassianへのアクセスを再利用できます。アドバイザリは、OAuthConfig._save_tokens、~/.mcp-atlassian/oauth-<client_id>.json、access_token、refresh_tokenを通じて、影響を受ける入力および処理フローを追跡しており、これらは影響を受けるエントリーポイント、制御機能、コードパスを特定します。この問題はバージョン0.22.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.