CVE-2026-77246 in mcp-atlassian
Sumário
de VulDB • 22/09/2026
MCP Atlassian é um servidor do Model Context Protocol (MCP) para produtos da Atlassian (Confluence e Jira). Antes da versão 0.22.0, uma implantação com transporte HTTP que possui READ_ONLY_MODE=false aceita solicitações sem identidade de Authorization e permite cabeçalhos de serviço controlados pelo atacante na Atlassian, incluindo X-Atlassian-Confluence-Url, para selecionar um hostname público do atacante ou um permitido por MCP_ALLOWED_URL_DOMAINS. Um chamador pode então invocar confluence_upload_attachment ou a variante de anexo do Jira em src/mcp_atlassian/jira/attachments.py com um file_path local ao servidor e fazer com que o processo MCP envie o arquivo para o endpoint de anexo selecionado. Este problema é corrigido na versão 0.22.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.