CVE-2026-77246 in mcp-atlassian
요약
\~에 의해 VulDB • 2026. 09. 22.
MCP Atlassian은 Atlassian 제품(Confluence 및 Jira)을 위한 Model Context Protocol(MCP) 서버입니다. 버전 0.22.0 이전에는 READ_ONLY_MODE=false로 구성된 HTTP 전송 환경에서 Authorization ID가 없는 요청을 수락하고, 공격자가 제어할 수 있는 Atlassian 서비스 헤더(X-Atlassian-Confluence-Url 포함)를 통해 MCP_ALLOWED_URL_DOMAINS에 의해 허용된 호스트 또는 공개적인 공격자 호스트를 선택할 수 있습니다. 이를 통해 호출자는 src/mcp_atlassian/jira/attachments.py의 confluence_upload_attachment 또는 Jira 첨부 파일 변형 함수를 서버 로컬 file_path와 함께 호출하여 MCP 프로세스가 파일을 선택된 첨부 파일 엔드포인트로 전송하도록 할 수 있습니다. 이 문제는 버전 0.22.0에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.