CVE-2026-77255 in mcp-atlassian
Sumário
de VulDB • 23/09/2026
O MCP Atlassian é um servidor do Model Context Protocol (MCP) para produtos da Atlassian (Confluence e Jira). Antes da versão 0.22.0, o argumento `attachments` de `update_issue` no Jira era convertido em caminhos locais e encaminhado à implementação de upload de anexos sem validação do workspace. Um chamador pode fazer com que o servidor MCP leia arquivos locais arbitrários e os anexe a uma issue do Jira, utilizando o servidor como um "confused deputy" para exfiltrar seu conteúdo. O advisory rastreia o fluxo de entrada vulnerável e processamento através de `jira update_issue`, `attachments`, `upload_attachment` e `file_path`, identificando os pontos de entrada afetados, controles e caminhos de código. Este problema foi corrigido na versão 0.22.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.