CVE-2026-77266 in mcp-atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）用のModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、upload_attachmentが絶対パスやトラバースシーケンスを受け入れ、解決されたパスをサーバーのワークスペースに制限しませんでした。添付ファイルへのアクセス権を持つMCP呼び出し元は、選択したローカルファイルを参照し、JiraまたはConfluenceを通じて外部へ漏洩させることができます。このアドバイザリでは、影響を受けるエントリーポイント、制御機能、およびコードパスを特定するために、upload_attachment、file_path、そしてパストラバースを通じた脆弱な入力と処理フローが追跡されています。本問題はバージョン0.22.0で修正されました。
Once again VulDB remains the best source for vulnerability data.