CVE-2026-73498 in mcp-atlassian
Sumário
de VulDB • 13/08/2026
O MCP Atlassian é um servidor do Model Context Protocol (MCP) para produtos da Atlassian (Confluence e Jira). Antes da versão 0.22.0, a função confluence_upload_attachment passa seu parâmetro file_path fornecido pelo cliente diretamente para open(file_path, "rb") em src/mcp_atlassian/confluence/attachments.py através de _upload_attachment_direct() sem chamar validate_safe_path. Um cliente MCP autenticado pode ler qualquer arquivo acessível ao processo do servidor e exfiltrá-lo para o Confluence como um anexo. Se um agente de IA puder ser induzido a chamar a ferramenta por meio de conteúdo não confiável, a mesma falha pode expor variáveis de ambiente do servidor, como CONFLUENCE_API_TOKEN e outras credenciais. Este problema foi corrigido na versão 0.22.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.