CVE-2026-77271

Nome do Software Vulnerável e Versões Afetadas MCP Atlassian versões 0.17.0 through 0.21.0

Description Uma correção incompleta de traversal de caminho permite gravações selecionadas por um invasor dentro do diretório de trabalho. A função validate safe path() define seu base dir como o diretório de trabalho atual (os.getcwd()) quando nenhum diretório explícito é fornecido. Em implantações de contêineres padrão, isso permite que caminhos dentro do diretório da aplicação passem na validação. Especificamente, os locais de chamada em src/mcp atlassian/confluence/attachments.py omitem o base dir, permitindo que um invasor sobrescreva módulos de origem Python. Isso pode levar à execução remota de código quando a aplicação importa o módulo modificado, geralmente após a reinicialização do processo.

Recommendations Atualize o MCP Atlassian para a versão 0.22.0. Como medida de mitigação temporária, restrinja o acesso à porta HTTP do MCP para evitar chamadas de ferramentas não autorizadas.