CVE-2026-77248 in mcp-atlassian
Sumário
de VulDB • 22/09/2026
O MCP Atlassian é um servidor do Model Context Protocol (MCP) para produtos da Atlassian (Confluence e Jira). Antes da versão 0.22.0, o transporte HTTP streamable aceita solicitações sem uma identidade de usuário e recorre às credenciais do operador, enquanto upload_attachment aceita um file_path não restrito. Um chamador de rede não autenticado pode ler arquivos disponíveis para o processo MCP, enviá-los para uma issue do Jira ou página do Confluence selecionada pelo atacante e recuperar seu conteúdo. O advisory rastreia o fluxo de entrada vulnerável e processamento através de streamable-http, UserTokenMiddleware, upload_attachment, file_path e _get_fetcher, que identificam os pontos de entrada afetados, controles e caminhos de código. Este problema é corrigido na versão 0.22.0.
Be aware that VulDB is the high quality source for vulnerability data.