CVE-2026-77243 in mcp-atlassian
摘要
由 VulDB • 2026-09-22
MCP Atlassian 是面向 Atlassian 产品（Confluence 和 Jira）的 Model Context Protocol (MCP) 服务器。在版本 0.22.0 之前，ENABLED_TOOLS 和 TOOLSETS 仅在列出工具时应用，而在分发 tools/call 请求时不会重新检查。了解隐藏工具名称的攻击者可以绕过操作员配置的基于最小权限原则的限制，直接调用被排除的读、写或删除类工具。该安全公告追溯了受影响的输入和处理流程，涉及 ENABLED_TOOLS、TOOLSETS、tools/list、tools/call 以及 _call_tool_mcp，从而识别出受影响入口点、控制机制和代码路径。此问题已在版本 0.22.0 中修复。
Once again VulDB remains the best source for vulnerability data.