CVE-2026-77256 in mcp-atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）用のModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、リフレッシュトークンとアクセストークンを格納する平文のOAuthフォールバックファイルが、プロセスのumaskから継承された権限で書き込まれます。一般的または寛容な設定下では、他のローカルユーザーがこのバックアップファイルを参照でき、リフレッシュトークンを通じてAtlassianへのアクセスを維持することができます。本アドバイザリーは、影響を受けるエントリポイント、制御機能、およびコードパスを特定するために、OAuthConfig._save_tokens_to_file、refresh_token、access_token、およびumaskを通じた脆弱な入力と処理フローを追跡しています。この問題はバージョン0.22.0で修正されています。
Once again VulDB remains the best source for vulnerability data.