CVE-2026-77259 in mcp-atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）向けのModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、confluence_upload_attachmentが、解決されたパスがワークスペース内に留まっているかどうかを確認せずに、呼び出し元によって選択されたサーバーローカルのファイルを開きます。攻撃者は環境ファイルや認証情報、または他の読み取り可能なホストデータをConfluenceページにアップロードし、Atlassianを介してそれらを取得することができます。このアドバイザリは、confluence_upload_attachment、file_path、および open(file_path, "rb") を通じて脆弱な入力と処理フローを追跡しており、これらは影響を受けるエントリポイント、制御点、およびコードパスを特定します。本問題はバージョン0.22.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.