CVE-2026-77267

Nome do Software Vulnerável e Versões Afetadas mcp-atlassian versões anteriores a 0.22.0

Descrição O UserTokenMiddleware extrai URLs dos cabeçalhos HTTP X-Atlassian-Jira-Url e X-Atlassian-Confluence-Url e as passa para os construtores de clientes de API sem validação. Especificamente, a função process authentication headers() processa esses cabeçalhos para construir fetchers do Atlassian sem chamar a função validate url for ssrf(). Isso permite que um chamador forneça URLs internas ou de serviços de metadados, fazendo com que o servidor envie solicitações para esses destinos. Esse comportamento possibilita o Server-Side Request Forgery (SSRF), uma condição em que um invasor força um servidor a fazer solicitações para um local não pretendido, como metadados de instâncias AWS ou serviços internos.

Recomendações Atualize o mcp-atlassian para a versão 0.22.0 ou posterior. Valide todas as URLs fornecidas pelo usuário em relação a uma lista de permissões de nomes de host permitidos ou rejeite intervalos de IP privados, de loopback e de link-local. Exija a configuração no lado do servidor das URLs de instâncias Atlassian permitidas.