CVE-2026-77259 in mcp-atlassian
Tóm tắt
Bởi VulDB • 22/09/2026
MCP Atlassian là một máy chủ Model Context Protocol (MCP) dành cho các sản phẩm của Atlassian (Confluence và Jira). Trước phiên bản 0.22.0, hàm `confluence_upload_attachment` mở tệp cục bộ trên máy chủ do người gọi chọn mà không kiểm tra xem đường dẫn đã phân giải có nằm trong workspace hay không. Người dùng có thể tải lên các tệp môi trường, thông tin xác thực hoặc dữ liệu khác của hệ thống có thể đọc được vào một trang Confluence và truy xuất chúng thông qua Atlassian. Bản cảnh báo theo dõi luồng đầu vào dễ bị tổn thương và quá trình xử lý xuyên qua `confluence_upload_attachment`, `file_path` và `open(file_path, "rb")`, từ đó xác định các điểm nhập, cơ chế kiểm soát và đường dẫn mã nguồn bị ảnh hưởng. Vấn đề này đã được khắc phục trong phiên bản 0.22.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.