CVE-2026-77258

Nome do Software Vulnerável e Versões Afetadas MCP Atlassian versões anteriores a 0.22.0

Description A função upload attachment em src/mcp atlassian/confluence/attachments.py não executa a função validate safe path(), permitindo que ela aceite um file path controlado pelo chamador e abra arquivos locais do servidor sem restringi-los ao espaço de trabalho. Um agente de IA ou um invasor utilizando injeção de prompt pode ler qualquer arquivo acessível ao processo do servidor — como chaves SSH, credenciais da AWS e segredos de aplicativos — e exfiltrar esses dados enviando os arquivos como anexos para uma página do Confluence.

Recommendations Atualize o MCP Atlassian para a versão 0.22.0. Como medida paliativa temporária, restrinja as permissões do processo do servidor para garantir que ele não possa acessar arquivos sensíveis do sistema.