CVE-2026-77272

Nome do Software Vulnerável e Versões Afetadas MCP Atlassian versões anteriores a 0.22.0

Description O servidor HTTP de callback local do assistente de configuração OAuth 2.0 reflete o parâmetro de consulta error diretamente em uma resposta HTML sem sanitização ou codificação. Isso ocorre na classe CallbackHandler em oauth setup.py, onde o parâmetro error é passado para a função send response() e interpolado em uma página HTML. Um callback de autorização manipulado pode injetar marcações ou scripts que são executados no navegador do usuário ao concluir o fluxo OAuth. O risco é ampliado porque o servidor vincula-se a todas as interfaces de rede (0.0.0.0), tornando-o acessível a partir da rede local, e carece de cabeçalhos de segurança como Content-Security-Policy e X-Content-Type-Options.

Recommendations Atualize para a versão 0.22.0. Como mitigação temporária, restrinja o acesso de rede à porta de callback (padrão 8080) para evitar acesso externo durante o processo de configuração OAuth.