CVE-2026-73496
WysokieCVSS 7.7Streszczenie
MCP Atlassian przed wersją 0.22.0 umożliwia klientowi z dostępem do narzędzi zapisu przekazywanie ścieżek plików bez ograniczeń do serwera, co pozwala na ujawnienie plików serwera, poświadczeń Atlassian lub danych innego dzierżawcy.
Ocena ryzyka
W zdalnych wdrożeniach HTTP, SSE lub multi-user, atakujący może odczytać poufne pliki i poświadczenia, co narusza poufność i może prowadzić do eskalacji uprawnień.
Rekomendacja
Zaktualizuj MCP Atlassian do wersji 0.22.0 lub nowszej, która ogranicza ścieżki do zatwierdzonego obszaru roboczego serwera.
Inne podatności w MCP Atlassian
Zobacz wszystkie- CVE-2026-73497Średnie
W MCP Atlassian od wersji 0.17.0 do 0.22.0 funkcja validate_url_for_ssrf rozwiązuje kontrolowaną przez atakującego nazwę hosta z nagłówków X-Atlassian-Jira-Url i X-Atlassian-Confluence-Url tylko raz na etapie middleware, a żądanie wychodzące używa surowej nazwy hosta i rozwiązuje ją ponownie bez przypięcia IP. Umożliwia to atak DNS-rebinding i nieuwierzytelnione żądania do metadanych chmurowych lub usług wewnętrznych.
- CVE-2026-73498Wysokie
MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0, confluence_upload_attachment przekazuje dostarczoną przez klienta ścieżkę file_path bezpośrednio do open(file_path, "rb") w src/mcp_atlassian/confluence/attachments.py przez _upload_attachment_direct() bez wywołania validate_safe_path. Uwierzytelniony klient MCP może odczytać dowolny plik dostępny dla procesu serwera i wyeksfiltrować go do Confluence jako załącznik. Jeśli agent AI może zostać nakłoniony do wywołania narzędzia przez niezaufaną treść, ta sama wada może ujawnić zmienne środowiskowe serwera, takie jak CONFLUENCE_API_TOKEN i inne poświadczenia. Problem naprawiono w wersji 0.22.0.
Oryginalny opis (angielski, źródło NVD)
MCP Atlassian is a Model Context Protocol (MCP) server for Atlassian products (Confluence and Jira). Prior to 0.22.0, the confluence_upload_attachment and confluence_upload_attachments tools pass a client-controlled file_path through src/mcp_atlassian/confluence/attachments.py upload_attachment, and the jira_update_issue attachments parameter reaches src/mcp_atlassian/jira/attachments.py upload_attachment, without confining either path to an approved server workspace. In a remote HTTP, SSE, or multi-user deployment, absolute or traversing paths are resolved on the MCP server and uploaded to Atlassian, allowing a client with write-tool access to disclose server files, environment-held Atlassian credentials, or another tenant's data. A local single-user stdio deployment does not cross this trust boundary because the server runs in the caller's environment. This issue is fixed in version 0.22.0.