CVE-2026-77249 in mcp-atlassian
Сводка
по VulDB • 22.09.2026
MCP Atlassian — это сервер Model Context Protocol (MCP) для продуктов Atlassian (Confluence и Jira). До версии 0.22.0 метод `JiraUserMixin._lookup_user_by_permissions` использует функцию модульного уровня `requests.get`, а не защищенную сессию извлекателя данных (fetcher's protected session). Публичный URL-адрес Jira, контролируемый вызывающей стороной, может перенаправить этот незащищенный запрос на внутренний адрес, обходя проверки перенаправления, добавленные для CVE-2026-27826. В рекомендациях (advisory) прослеживается уязвимый поток ввода и обработки через `JiraUserMixin._lookup_user_by_permissions`, `requests.get`, `self.jira._session.get` и `_make_ssrf_safe_hook`, что позволяет определить затронутые точки входа, механизмы контроля и пути выполнения кода. Эта проблема исправлена в версии 0.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.