CVE-2026-77260 in mcp-atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）用のModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、ConfluenceとJiraのupload_attachment実装においてfile_pathに制約がなく、参照されるサーバーローカルのファイルが開かれます。許可されたMCP呼び出し元は機密性の高いホストファイルをAtlassian宛先にアップロードし、その後その内容を受領できます。本アドバイザリでは、影響を受けるエントリーポイント、制御機能、およびコードパスを特定するupload_attachment、file_path、CVE-2026-27825を通じた脆弱な入力と処理フローを追跡しています。この問題はバージョン0.22.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.