CVE-2026-77265

Nome do Software Vulnerável e Versões Afetadas MCP Atlassian versões anteriores a 0.22.0

Description Um chamador não autenticado pode realizar um ataque de Server-Side Request Forgery (SSRF) utilizando uma técnica de DNS-rebinding. O software utiliza um padrão de validar-e-depois-usar, onde a função validate url for ssrf() resolve um nome de host para garantir que ele seja globalmente roteável, mas a conexão HTTP real ocorre posteriormente com uma resolução de DNS separada. Um invasor pode fornecer um nome de host que retorne um endereço público durante a validação e um endereço interno durante a conexão real, permitindo que as requisições alcancem serviços internos ou serviços de metadados de nuvem (ex: 169.254.169.254) para roubar credenciais IAM ou escanear redes internas.

Este problema é acionado através dos seguintes parâmetros fornecidos no cabeçalho:

Recommendations Atualize para a versão 0.22.0. Como mitigação temporária, restrinja o uso de autenticação via Personal Access Token (PAT) baseada em cabeçalhos, caso não seja estritamente necessária.