CVE-2026-73497
ŚrednieCVSS 6.5Streszczenie
W MCP Atlassian od wersji 0.17.0 do 0.22.0 funkcja validate_url_for_ssrf rozwiązuje kontrolowaną przez atakującego nazwę hosta z nagłówków X-Atlassian-Jira-Url i X-Atlassian-Confluence-Url tylko raz na etapie middleware, a żądanie wychodzące używa surowej nazwy hosta i rozwiązuje ją ponownie bez przypięcia IP. Umożliwia to atak DNS-rebinding i nieuwierzytelnione żądania do metadanych chmurowych lub usług wewnętrznych.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wewnętrznych usług lub metadanych chmurowych (np. 169.254.169.254), co może prowadzić do wycieku danych uwierzytelniających lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj MCP Atlassian do wersji 0.22.0, która zawiera poprawkę rozwiązującą tę podatność.
Inne podatności w MCP Atlassian
Zobacz wszystkie- CVE-2026-73496Wysokie
MCP Atlassian przed wersją 0.22.0 umożliwia klientowi z dostępem do narzędzi zapisu przekazywanie ścieżek plików bez ograniczeń do serwera, co pozwala na ujawnienie plików serwera, poświadczeń Atlassian lub danych innego dzierżawcy.
- CVE-2026-73498Wysokie
MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0, confluence_upload_attachment przekazuje dostarczoną przez klienta ścieżkę file_path bezpośrednio do open(file_path, "rb") w src/mcp_atlassian/confluence/attachments.py przez _upload_attachment_direct() bez wywołania validate_safe_path. Uwierzytelniony klient MCP może odczytać dowolny plik dostępny dla procesu serwera i wyeksfiltrować go do Confluence jako załącznik. Jeśli agent AI może zostać nakłoniony do wywołania narzędzia przez niezaufaną treść, ta sama wada może ujawnić zmienne środowiskowe serwera, takie jak CONFLUENCE_API_TOKEN i inne poświadczenia. Problem naprawiono w wersji 0.22.0.
Oryginalny opis (angielski, źródło NVD)
MCP Atlassian is a Model Context Protocol (MCP) server for Atlassian products (Confluence and Jira). From 0.17.0 until 0.22.0, validate_url_for_ssrf resolves the attacker-controlled X-Atlassian-Jira-Url and X-Atlassian-Confluence-Url header host once at middleware time, but the outbound request is built with the raw hostname and resolves it again at connection time with no IP pinning. An attacker-controlled DNS-rebinding name can return a public IP during validation and 169.254.169.254 or another internal IP during connection, enabling unauthenticated server-side requests to cloud metadata or internal services. The flaw spans src/mcp_atlassian/utils/urls.py, src/mcp_atlassian/servers/main.py, and src/mcp_atlassian/servers/dependencies.py; validate_url_for_ssrf returns only a verdict rather than a pinned IP, UserTokenMiddleware processes the attacker-controlled headers before fetcher creation, and the Jira and Confluence fetchers use the raw hostname. This issue is fixed in version 0.22.0.