CVE-2026-77255 in mcp-atlassian
Сводка
по VulDB • 22.09.2026
MCP Atlassian — это сервер Model Context Protocol (MCP) для продуктов Atlassian (Confluence и Jira). До версии 0.22.0 аргумент attachments в методе update_issue платформы Jira преобразуется в локальные пути и передается в реализацию загрузки вложений без проверки рабочей области (workspace validation). Злоумышленник может заставить сервер MCP читать произвольные локальные файлы и прикреплять их к задаче в Jira, используя сервер как «сбитого с толку доверенного лица» (confused deputy) для эксфильтрации содержимого. В рекомендациях по безопасности прослеживается поток уязвимых входных данных и обработки через методы jira update_issue, attachments, upload_attachment и file_path, что позволяет определить затронутые точки входа, механизмы контроля и пути выполнения кода. Эта проблема исправлена в версии 0.22.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.