CVE-2026-19369
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W projekcie KS-GEN-AI jira-mcp-server 0.2.0 wykryto podatność w funkcji axios.get pliku src/index.ts (komponent add_attachment_from_public_url). Manipulacja argumentem imageUrl prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak wymaga dostępu lokalnego.
Ocena ryzyka
Podatność SSRF może umożliwić atakującemu dostęp do wewnętrznych zasobów, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się walidację i sanityzację argumentu imageUrl oraz ograniczenie dostępu do funkcji add_attachment_from_public_url.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in KS-GEN-AI jira-mcp-server 0.2.0. This affects the function axios.get of the file src/index.ts of the component add_attachment_from_public_url. The manipulation of the argument imageUrl results in server-side request forgery. The attack requires a local approach. The project was informed of the problem early through an issue report but has not responded yet.