CVE-2026-73498

Nome do Software Vulnerável e Versões Afetadas MCP Atlassian versões anteriores a 0.22.0

Description O software falha ao chamar validate safe path ao processar a variável file path dentro da ferramenta confluence upload attachment. Isso ocorre na função upload attachment direct() localizada em src/mcp atlassian/confluence/attachments.py, onde o caminho fornecido pelo cliente é passado diretamente para a função open(). Um cliente autenticado pode explorar isso para ler qualquer arquivo acessível ao processo do servidor e exfiltrá-lo para o Confluence como um anexo. Além disso, se um agente de IA for induzido a chamar esta ferramenta por meio de conteúdo não confiável, variáveis de ambiente sensíveis do servidor, como CONFLUENCE API TOKEN, podem ser expostas.

Recommendations Atualizar para a versão 0.22.0.