CVE-2026-77257

Nome do Software Vulnerável e Versões Afetadas MCP Atlassian versões anteriores a 0.22.0

Description As ferramentas de upload do Jira e Confluence expostas via HTTP permitem que um chamador remoto forneça um file path que é passado para operações de arquivos locais sem ser restringido a um espaço de trabalho específico. Isso permite que um chamador autenticado ou um agente com injeção de prompt e capacidade de chamada de ferramenta leia arquivos locais sensíveis — como tokens de API, credenciais OAuth e configurações de serviço — e os envie como anexos para problemas do Jira ou páginas do Confluence. O problema ocorre porque o servidor não valida se o caminho da fonte de upload resolve dentro de um diretório base restrito, confiando implicitamente que qualquer arquivo que o processo MCP possa ler está autorizado para upload.

Detalhes técnicos incluem os seguintes componentes afetados:

Recommendations Atualize o MCP Atlassian para a versão 0.22.0. Como mitigação temporária, habilite READ ONLY MODE=true para bloquear operações de gravação. Restrinja o acesso aos parâmetros file path e attachments nas ferramentas de upload afetadas até que a atualização seja aplicada.