CVE-2026-73496 in mcp-atlassian
Сводка
по VulDB • 14.09.2026
MCP Atlassian — это сервер Model Context Protocol (MCP) для продуктов Atlassian (Confluence и Jira). До версии 0.22.0 инструменты confluence_upload_attachment и confluence_upload_attachments передавали управляемый клиентом путь к файлу (file_path) в функцию upload_attachment из src/mcp_atlassian/confluence/attachments.py, а параметр attachments инструмента jira_update_issue достигал функции upload_attachment из src/mcp_atlassian/jira/attachments.py без ограничения этих путей допустимым рабочим пространством сервера. В удаленных развертываниях с использованием HTTP, SSE или в многопользовательском режиме абсолютные пути и пути с обходом директорий (traversing paths) разрешаются на стороне MCP-сервера и загружаются в Atlassian, что позволяет клиенту с доступом к инструментам записи раскрыть файлы сервера, учетные данные Atlassian, хранящиеся в окружении, или данные другого арендатора. Локальное однопользовательское развертывание через stdio не пересекает эту границу доверия, поскольку сервер работает в среде вызывающего процесса. Эта проблема исправлена в версии 0.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.