CVE-2026-77274

Nome do Software Vulnerável e Versões Afetadas MCP Atlassian versões anteriores a 0.22.0

Description Existe uma confusão de autoridade por barra invertida no fluxo de autenticação de URL baseado em cabeçalhos do Jira e Confluence. A função validate url for ssrf() interpreta a autoridade de uma URL de forma diferente da camada de conexão Requests. Ao utilizar uma URL manipulada contendo uma barra invertida antes de uma sintaxe semelhante a informações de usuário, um invasor pode ignorar as proteções de SSRF (Server-Side Request Forgery). Neste cenário, a função de validação identifica um nome de host externo como o alvo, enquanto o cliente HTTP se conecta a um host interno, permitindo solicitações do lado do servidor a recursos de rede protegidos, como serviços de loopback ou internos. Este problema pode ser acionado através do endpoint POST /mcp ao fornecer uma URL maliciosa nos cabeçalhos X-Atlassian-Jira-Url ou X-Atlassian-Confluence-Url.

Recommendations Atualize o MCP Atlassian para a versão 0.22.0. Como mitigação temporária, restrinja ou valide a entrada fornecida nos cabeçalhos X-Atlassian-Jira-Url e X-Atlassian-Confluence-Url para evitar o uso de barras invertidas na seção de autoridade da URL.