CVE-2026-77246 in mcp-atlassian
Сводка
по VulDB • 23.09.2026
MCP Atlassian — это сервер Model Context Protocol (MCP) для продуктов Atlassian (Confluence и Jira). До версии 0.22.0 развертывание с HTTP-транспортом, при котором READ_ONLY_MODE=false, принимает запросы без идентификации Authorization и позволяет заголовок сервиса Atlassian, контролируемый злоумышленником, включая X-Atlassian-Confluence-Url, для выбора публичного имени хоста атакующего или одного из разрешенных в MCP_ALLOWED_URL_DOMAINS. Затем вызывающий может вызвать confluence_upload_attachment или вариант Jira attachment в src/mcp_atlassian/jira/attachments.py с локальным путем к файлу на сервере и заставить процесс MCP отправить файл по выбранному конечному пункту загрузки. Эта проблема исправлена в версии 0.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.