CVE-2026-77270 in mcp-atlassian
要約
〜によって VulDB • 2026年09月22日
MCP Atlassianは、Atlassian製品（ConfluenceおよびJira）用のModel Context Protocol (MCP) サーバーです。バージョン0.22.0より前では、JiraとConfluenceの添付ファイルアップロードツールは、呼び出し元が制御可能なfile_path値を信頼できるサーバーローカルパスとして扱います。サーバーは選択されたファイルを開き、Atlassianの問題またはページにアップロードするため、アップロード権限を持つMCP呼び出し元により、サーバープロセスによって読み取り可能な任意のファイルを不正に開示することができます。このアドバイザリでは、影響を受けるエントリポイント、制御ロジック、およびコードパスを特定するために、confluence_upload_attachment、jira_upload_attachment、file_path、open(file_path, "rb")を通じた脆弱な入力と処理フローを追跡しています。本問題はバージョン0.22.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.