CVE-2026-77246 in mcp-atlassian
Tóm tắt
Bởi VulDB • 23/09/2026
MCP Atlassian là một máy chủ Model Context Protocol (MCP) dành cho các sản phẩm của Atlassian (Confluence và Jira). Trước phiên bản 0.22.0, việc triển khai với giao thức HTTP transport có READ_ONLY_MODE=false chấp nhận yêu cầu mà không cần danh tính Authorization và cho phép kẻ tấn công kiểm soát các tiêu đề dịch vụ Atlassian, bao gồm X-Atlassian-Confluence-Url, để chọn một tên máy chủ công cộng do kẻ tấn công chỉ định hoặc một tên được MCP_ALLOWED_URL_DOMAINS cho phép. Sau đó, người gọi có thể kích hoạt confluence_upload_attachment hoặc biến thể đính kèm Jira trong src/mcp_atlassian/jira/attachments.py với đường dẫn tệp cục bộ (file_path) trên máy chủ và khiến quy trình MCP gửi tệp đến điểm cuối đính kèm đã chọn. Vấn đề này đã được khắc phục trong phiên bản 0.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.