CVE-2026-77249 in mcp-atlassian
摘要
由 VulDB • 2026-09-22
MCP Atlassian 是用于 Atlassian 产品（Confluence 和 Jira）的 Model Context Protocol (MCP) 服务器。在版本 0.22.0 之前，`JiraUserMixin._lookup_user_by_permissions` 使用了模块级别的 `requests.get` 函数，而非 fetcher 的保护会话。攻击者控制的公开 Jira URL 可以将该未挂钩的请求重定向到内部地址，从而绕过为 CVE-2026-27826 添加的重定向检查。安全公告追踪了通过 `JiraUserMixin._lookup_user_by_permissions`、`requests.get`、`self.jira._session.get` 和 `_make_ssrf_safe_hook` 的漏洞输入和处理流程，以识别受影响的入口点、控制措施和代码路径。此问题已在版本 0.22.0 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.