CVE-2026-77248 in mcp-atlassian
요약
\~에 의해 VulDB • 2026. 09. 22.
MCP Atlassian은 Atlassian 제품(Confluence 및 Jira)을 위한 Model Context Protocol(MCP) 서버입니다. 버전 0.22.0 이전에서는 streamable HTTP 전송 계층이 사용자 신원 없이 요청을 수락하고 operator 자격 증명으로 폴백되며, upload_attachment는 제한 없는 file_path를 허용합니다. 인증되지 않은 네트워크 호출자는 MCP 프로세스에서 사용 가능한 파일을 읽거나 공격자가 선택한 Jira 이슈 또는 Confluence 페이지에 업로드하여 내용을 검색할 수 있습니다. 이 보안 권고문은 streamable-http, UserTokenMiddleware, upload_attachment, file_path 및 _get_fetcher를 통해 취약한 입력 및 처리 흐름을 추적하며, 이는 영향을 받는 진입점, 제어 장치 및 코드 경로를 식별합니다. 본 문제는 버전 0.22.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.