CVE-2026-77255 in mcp-atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）向けのModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、Jiraのupdate_issue APIにおけるattachments引数がローカルパスに変換され、ワークスペース検証なしで添付ファイルアップロード実装にルーティングされます。攻撃者はこのサーバーを混乱した代理人（confused deputy）として利用し、任意のローカルファイルを読み取ってJiraの問題に添付することで、その内容を引き抜くことができます。本アドバイザリでは、影響を受けるエントリポイント、制御機能、およびコードパスを特定するため、jira update_issue、attachments、upload_attachment、file_pathを通じた脆弱な入力と処理フローを追跡しています。この問題はバージョン0.22.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.