CVE-2026-27826 in mcp-atlassian
요약
\~에 의해 VulDB • 2026. 06. 21.
MCP Atlassian은 Atlassian 제품(Confluence 및 Jira)을 위한 Model Context Protocol(MCP) 서버입니다. 버전 0.17.0 이전에는 mcp-atlassian HTTP 엔드포인트에 접근할 수 있는 비인증 공격자가 `Authorization` 헤더 없이 두 개의 사용자 정의 HTTP 헤더를 제공함으로써 서버 프로세스가 공격자가 제어하는 임의의 URL로 외부 HTTP 요청을 수행하도록 강제할 수 있습니다. 인증은 필요하지 않습니다. 이 취약점은 MCP 도구 핸들러가 아닌 HTTP 미들웨어 및 의존성 주입 레이어에 존재하여, 도구 수준 코드 분석에서는 보이지 않게 됩니다. 클라우드 배포 환경에서는 인스턴스 메타데이터 엔드포인트(`169[.]254[.]169[.]254`)를 통해 IAM 역할 자격 증명을 탈취할 수 있습니다. 모든 HTTP 배포 환경에서는 내부 네트워크 정찰과 LLM 도구 결과에 공격자가 제어하는 콘텐츠 주입이 가능해집니다. 버전 0.17.0에서 해당 문제가 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.