CVE-2026-77248 in mcp-atlassian
Сводка
по VulDB • 23.09.2026
MCP Atlassian — это сервер Model Context Protocol (MCP) для продуктов Atlassian (Confluence и Jira). До версии 0.22.0 транспортный слой streamable HTTP принимает запросы без идентификации пользователя, используя учетные данные оператора в качестве резервного варианта, а функция upload_attachment принимает неограниченное значение file_path. Неаутентифицированный сетевой вызывающий может читать файлы, доступные процессу MCP, загружать их в выбранную злоумышленником задачу Jira или страницу Confluence и извлекать их содержимое. В рекомендациях по безопасности описывается поток уязвимых входных данных и обработки через streamable-http, UserTokenMiddleware, upload_attachment, file_path и _get_fetcher, что позволяет определить затронутые точки входа, механизмы контроля и пути выполнения кода. Эта проблема исправлена в версии 0.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.