Podatności MCP Atlassian

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0 żądania do punktu końcowego HTTP MCP bez tożsamości użytkownika były dopuszczane do obsługi narzędzi, które następnie używały globalnie skonfigurowanych poświadczeń Jira lub Confluence.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). W wersjach przed 0.22.0 transport HTTP akceptuje żądania bez zweryfikowanej tożsamości użytkownika, a konstrukcja pobierającego spada do globalnie skonfigurowanych poświadczeń Jira lub Confluence operatora. Klient sieciowy mogący dotrzeć do punktu końcowego MCP może wywoływać narzędzia Atlassian jako operator, w tym operacje odczytu i zapisu dostępne dla tego konta.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0 parametr zapytania błędu OAuth jest przekazywany do CallbackHandler._send_response w oauth_setup.py i wstawiany do strony HTML bez escapowania. Spreparowane wywołanie zwrotne autoryzacji może wstrzyknąć znaczniki lub skrypt, który wykona się w przeglądarce użytkownika kończącego przepływ OAuth. Problem naprawiono w wersji 0.22.0.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0 poprawka na CVE-2026-27825 chroni miejsca docelowe pobierania, ale nie ogranicza ścieżek źródłowych używanych przy wysyłaniu załączników. Wywołujący może podać bezwzględną ścieżkę lub sekwencję przejścia i spowodować wysłanie wybranego lokalnego pliku przez serwer. Problem naprawiono w wersji 0.22.0.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0 katalog zapasowy tokenów OAuth i plik JSON są tworzone bez jawnych uprawnień tylko dla właściciela. Lokalni użytkownicy lub procesy mające dostęp dzięki wynikowym bitom uprawnień grupy lub innych mogą odczytać tokeny dostępu i odświeżania oraz ponownie użyć powiązanej sesji Atlassian. Problem naprawiono w wersji 0.22.0.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0 funkcja upload_attachment przyjmuje ścieżki bezwzględne i sekwencje przejścia bez ograniczania rozwiązanej ścieżki do obszaru roboczego serwera. Wywołujący MCP z dostępem do załączników może odczytać wybrany plik lokalny serwera i eksfiltrować go przez Jirę lub Confluence. Problem naprawiono w wersji 0.22.0.

MCP Atlassian to serwer Model Context Protocol dla produktów Atlassian (Confluence i Jira). W wersjach przed 0.22.0 funkcja confluence_upload_attachment przyjmuje kontrolowaną przez atakującego ścieżkę file_path i nie stosuje ograniczeń ścieżki dodanych przy wcześniejszej podatności związanej z pobieraniem. Wywołujący może wyjść poza obszar roboczy i przesłać dowolne pliki czytelne dla serwera do Confluence.

MCP Atlassian to serwer Model Context Protocol dla produktów Atlassian (Confluence i Jira). W wersjach przed 0.22.0 funkcja confluence_upload_attachment otwiera wybrany przez wywołującego plik lokalny serwera bez sprawdzenia, czy rozwiązana ścieżka pozostaje w obszarze roboczym. Wywołujący może przesłać pliki środowiskowe, poświadczenia lub inne czytelne dane hosta na stronę Confluence i pobrać je przez Atlassian.

MCP Atlassian to serwer Model Context Protocol dla produktów Atlassian (Confluence i Jira). W wersjach przed 0.22.0 narzędzia przesyłania Jira i Confluence udostępnione przez HTTP przekazują ścieżkę file_path podaną przez wywołującego do lokalnych operacji na plikach bez ograniczania jej do obszaru roboczego. Zdalny wywołujący MCP z dostępem do narzędzi może spowodować odczyt poufnych plików lokalnych przez serwer i przesłanie ich jako załączników Atlassian.

MCP Atlassian to serwer Model Context Protocol dla produktów Atlassian (Confluence i Jira). W wersjach przed 0.22.0 plik zapasowy OAuth w postaci jawnego tekstu zawierający tokeny odświeżania i dostępu jest zapisywany z uprawnieniami dziedziczonymi z umask procesu. W typowych lub permisywnych konfiguracjach inni lokalni użytkownicy mogą odczytać kopię zapasową i zachować dostęp do Atlassian poprzez token odświeżania.

W serwerze MCP Atlassian w wersjach przed 0.22.0 argument attachments w operacji Jira update_issue jest konwertowany na lokalne ścieżki i przekazywany do mechanizmu wysyłania załączników bez walidacji obszaru roboczego. Wywołujący może zmusić serwer MCP do odczytu dowolnych plików lokalnych i dołączenia ich do zgłoszenia Jira, wykorzystując serwer jako confused deputy do eksfiltracji zawartości.

W serwerze MCP Atlassian w wersjach przed 0.22.0 narzędzia do wysyłania załączników Jira i Confluence przyjmują dowolne ścieżki lokalnego systemu plików i wysyłają wybrane bajty do Atlassian. W środowiskach HTTP lub wieloużytkownikowych wywołujący może przekroczyć granicę systemu plików klient-serwer i ujawnić konfigurację, poświadczenia, zamontowane sekrety lub inne pliki czytelne dla procesu MCP.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0 funkcja JiraUserMixin._lookup_user_by_permissions używa modułowej funkcji requests.get zamiast chronionej sesji fetchera. Kontrolowany przez wywołującego publiczny adres URL Jiry może przekierować to nieobjęte zabezpieczeniem żądanie na adres wewnętrzny, omijając kontrole przekierowań dodane dla CVE-2026-27826. Problem naprawiono w wersji 0.22.0.

W serwerze MCP Atlassian w wersjach przed 0.22.0 transport streamable HTTP przyjmuje żądania bez tożsamości użytkownika i używa poświadczeń operatora, a upload_attachment akceptuje nieograniczony parametr file_path. Nieuwierzytelniony wywołujący z sieci może odczytać pliki dostępne dla procesu MCP, przesłać je do wybranego przez atakującego zgłoszenia Jira lub strony Confluence i odzyskać ich zawartość.

W serwerze MCP Atlassian w wersjach przed 0.22.0 narzędzia do wysyłania załączników Jira i Confluence interpretują kontrolowane przez wywołującego argumenty ścieżek na serwerze MCP i otwierają te pliki przed wysłaniem ich jako załączniki. W środowiskach zdalnych lub wieloużytkownikowych uprawniony klient może ujawnić pliki hosta bez dostępu do powłoki lub bezpośredniego dostępu do systemu plików.

W serwerze MCP Atlassian w wersjach przed 0.22.0 wdrożenie z transportem HTTP i ustawieniem READ_ONLY_MODE=false przyjmuje żądanie bez tożsamości w nagłówku Authorization i pozwala na kontrolowane przez atakującego nagłówki usługi Atlassian, w tym X-Atlassian-Confluence-Url, wskazujące publiczną nazwę hosta atakującego lub hosta dozwolonego przez MCP_ALLOWED_URL_DOMAINS. Wywołujący może następnie użyć confluence_upload_attachment lub wariantu dla Jira z lokalną ścieżką pliku i spowodować wysłanie pliku do wybranego punktu końcowego.

MCP Atlassian w wersji przed 0.22.0 ma w funkcji validate_url_for_ssrf mylenie autorytetu z powodu ukośnika odwrotnego, ponieważ interpretuje autorytet inaczej niż warstwa połączeń Requests w przepływie uwierzytelniania URL Jira i Confluence opartym na nagłówkach. Spreparowany URL może przejść walidację jako zewnętrzna nazwa hosta, podczas gdy klient HTTP łączy się z hostem wewnętrznym, umożliwiając żądania po stronie serwera do chronionych zasobów sieciowych.

MCP Atlassian w wersji przed 0.22.0 ma funkcję validate_safe_path, która domyślnie ustawia katalog bazowy na os.getcwd(), a dotknięte miejsca wywołań załączników Confluence pomijają base_dir, co pozwala atakującemu na zapisy w katalogu roboczym. Nadpisanie modułu Pythona może umożliwić wykonanie kodu, gdy aplikacja później zaimportuje zmodyfikowany moduł, obchodząc poprawkę CVE-2026-27825.

MCP Atlassian przed wersją 0.22.0 traktuje wartości file_path dostarczone przez wywołującego jako zaufane ścieżki lokalne serwera. Serwer otwiera wybrany plik i przesyła go do zgłoszenia lub strony Atlassian, co pozwala wywołującemu z dostępem do przesyłania na ujawnienie dowolnego pliku czytelnego dla procesu serwera. Problem został naprawiony w wersji 0.22.0.

MCP Atlassian w wersji przed 0.22.0 przetwarza nagłówki X-Atlassian-Jira-Url i X-Atlassian-Confluence-Url w funkcji _process_authentication_headers i używa ich do budowy klientów Atlassian bez wywołania validate_url_for_ssrf. Podmiot mogący ustawić te nagłówki może podać wewnętrzny URL lub URL usługi metadanych i spowodować wysłanie żądań do tego celu, obchodząc niekompletną poprawkę CVE-2026-27826.

MCP Atlassian przed wersją 0.22.0 najpierw rozwiązuje i waliduje adresy URL Jira lub Confluence dostarczone w nagłówkach, a następnie klient HTTP ponownie rozwiązuje nazwę hosta podczas połączenia. Nieuwierzytelniony wywołujący może użyć nazwy hosta z DNS rebinding, która zwraca publiczny adres podczas walidacji i wewnętrzny adres podczas połączenia, co umożliwia wysyłanie żądań do usług wewnętrznych lub metadanych. Problem został naprawiony w wersji 0.22.0.

MCP Atlassian w wersji przed 0.22.0 pomija _make_ssrf_safe_hook w sesjach JiraFetcher i ConfluenceFetcher tworzonych przez gałęzie basic-auth i oauth_pat. Jeśli kontrolowana przez atakującego lub przejęta skonfigurowana instancja Atlassian zwróci przekierowanie na adres wewnętrzny, te sesje mogą podążyć za przekierowaniem bez ponownej walidacji celu.

Serwer MCP Atlassian przed wersją 0.22.0 pozwala na odczyt dowolnych plików lokalnych serwera poprzez funkcję upload_attachment, która przyjmuje nieograniczoną ścieżkę file_path. Uprawniony wywołujący MCP może przesłać wrażliwe pliki hosta do Atlassian i następnie odczytać ich zawartość.

W MCP Atlassian przed wersją 0.22.0 funkcja upload_attachment w pliku src/mcp_atlassian/confluence/attachments.py przyjmuje kontrolowaną przez wywołującego ścieżkę file_path i otwiera wybrany plik lokalny serwera bez ograniczenia do obszaru roboczego. Uprawniony wywołujący Confluence MCP może przesłać ten plik jako załącznik i ujawnić dane czytelne dla procesu serwera.

MCP Atlassian przed wersją 0.22.0 pozwala wywołującemu na zastąpienie skonfigurowanych przez administratora list dozwolonych (allowlist) za pomocą argumentów projects_filter i spaces_filter, a także na pominięcie ograniczeń przez podanie własnych klauzul project lub space. Wywołujący może przeszukiwać projekty lub przestrzenie poza zamierzonym zakresem, jeśli skonfigurowane poświadczenia Atlassian mają do nich dostęp. Problem został naprawiony w wersji 0.22.0.

W MCP Atlassian przed wersją 0.22.0 wyszukiwanie Jira akceptuje zabronioną klauzulę projektu, ponieważ sprawdza tylko obecność składni projektu; wyszukiwanie Confluence używa niekompletnego, wrażliwego na wielkość liter sprawdzenia spacji; a API tablic Jira pomijają egzekwowanie filtra projektów. Ścieżki te ujawniają problemy, tablice lub strony poza filtrami JIRA_PROJECTS_FILTER lub CONFLUENCE_SPACES_FILTER, gdy poświadczenia operatora mają szerszy dostęp.

MCP Atlassian przed wersją 0.22.0 zapisuje tokeny dostępu i odświeżania w pliku tekstowym w katalogu użytkownika .mcp-atlassian z domyślnymi uprawnieniami procesu. Na systemach z permisywną maską umask, inni lokalni użytkownicy lub procesy z tej samej grupy mogą odczytać zapisane tokeny i wykorzystać powiązany dostęp do Atlassian. Problem został naprawiony w wersji 0.22.0.

W MCP Atlassian przed wersją 0.22.0 ustawienia ENABLED_TOOLS i TOOLSETS są stosowane przy wyświetlaniu narzędzi, ale nie są ponownie sprawdzane przy wysyłaniu żądania tools/call. Klient znający nazwę ukrytego narzędzia może bezpośrednio wywołać wykluczone narzędzia odczytu, zapisu lub usuwania, mimo skonfigurowanych ograniczeń najmniejszych uprawnień.

W MCP Atlassian przed wersją 0.22.0 funkcja validate_url_for_ssrf sprawdza rozwiązane adresy hosta, ale Requests i urllib3 ponownie rozwiązują nazwę hosta podczas łączenia. Wywołujący może użyć krótkotrwałej odpowiedzi DNS, która jest publiczna podczas walidacji, a prywatna podczas połączenia, zachowując nieuwierzytelniony dostęp do wewnętrznych lub metadanych punktów końcowych mimo wcześniejszej poprawki CVE-2026-27826.

W MCP Atlassian od wersji 0.17.0 do 0.22.0 funkcja validate_url_for_ssrf rozwiązuje kontrolowaną przez atakującego nazwę hosta z nagłówków X-Atlassian-Jira-Url i X-Atlassian-Confluence-Url tylko raz na etapie middleware, a żądanie wychodzące używa surowej nazwy hosta i rozwiązuje ją ponownie bez przypięcia IP. Umożliwia to atak DNS-rebinding i nieuwierzytelnione żądania do metadanych chmurowych lub usług wewnętrznych.

MCP Atlassian przed wersją 0.22.0 umożliwia klientowi z dostępem do narzędzi zapisu przekazywanie ścieżek plików bez ograniczeń do serwera, co pozwala na ujawnienie plików serwera, poświadczeń Atlassian lub danych innego dzierżawcy.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0, confluence_upload_attachment przekazuje dostarczoną przez klienta ścieżkę file_path bezpośrednio do open(file_path, "rb") w src/mcp_atlassian/confluence/attachments.py przez _upload_attachment_direct() bez wywołania validate_safe_path. Uwierzytelniony klient MCP może odczytać dowolny plik dostępny dla procesu serwera i wyeksfiltrować go do Confluence jako załącznik. Jeśli agent AI może zostać nakłoniony do wywołania narzędzia przez niezaufaną treść, ta sama wada może ujawnić zmienne środowiskowe serwera, takie jak CONFLUENCE_API_TOKEN i inne poświadczenia. Problem naprawiono w wersji 0.22.0.