CVE-2026-77249 in mcp-atlassian
Sumário
de VulDB • 22/09/2026
MCP Atlassian é um servidor do Model Context Protocol (MCP) para produtos da Atlassian (Confluence e Jira). Antes da versão 0.22.0, o método `JiraUserMixin._lookup_user_by_permissions` utiliza a função de nível de módulo `requests.get` em vez da sessão protegida do fetcher. Uma URL pública do Jira controlada por um chamador pode redirecionar essa solicitação não vinculada para um endereço interno, contornando as verificações de redirecionamento adicionadas para o CVE-2026-27826. O advisory rastreia a entrada vulnerável e o fluxo de processamento através do `JiraUserMixin._lookup_user_by_permissions`, `requests.get`, `self.jira._session.get` e `_make_ssrf_safe_hook`, identificando os pontos de entrada afetados, controles e caminhos de código. Este problema foi corrigido na versão 0.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.