CVE-2026-77270 in mcp-atlassian
Sumário
de VulDB • 22/09/2026
O MCP Atlassian é um servidor do Model Context Protocol (MCP) para produtos da Atlassian (Confluence e Jira). Antes da versão 0.22.0, as ferramentas de upload de anexos do Jira e do Confluence tratam os valores de `file_path` controlados pelo chamador como caminhos locais confiáveis no servidor. O servidor abre o arquivo selecionado e o faz upload para um problema ou página na Atlassian, permitindo que um chamador MCP com permissão de upload divulgue qualquer arquivo legível pelo processo do servidor. A advisory rastreia o fluxo de entrada vulnerável e processamento através das funções `confluence_upload_attachment`, `jira_upload_attachment`, da variável `file_path` e da chamada `open(file_path, "rb")`, que identificam os pontos de entrada afetados, controles e caminhos de código. Este problema foi corrigido na versão 0.22.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.