CVE-2026-77244
Açıklama
MCP Atlassian, Atlassian ürünleri (Confluence ve Jira) için bir Model Context Protocol (MCP) sunucusudur. 0.22.0 sürümünden önce, HTTP taşıma katmanı doğrulanmış bir kullanıcı kimliği olmadan istekleri kabul etmekte ve alt akış getirici (fetcher) oluşturma işlemi operatörün küresel olarak yapılandırılmış Jira veya Confluence kimlik bilgilerine geri dönmektedir. MCP uç noktasına erişebilen bir ağ istemcisi, söz konusu hesabın sahip olduğu okuma ve yazma işlemleri dahil olmak üzere Atlassian araçlarını operatör olarak çağırabilir. Güvenlik bildirimi; etkilenen giriş noktalarını, kontrolleri ve kod yollarını belirleyen UserTokenMiddleware, AtlassianOpaqueTokenVerifier, _get_fetcher ve streamable-http üzerinden savunmasız girdi ve işleme akışını takip etmektedir. Bu sorun 0.22.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- mcp-atlassian mcp_atlassian0.22.0 ya da sonraki bir sürüm
- mcp-atlassian0.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mcp-atlassian mcp_atlassian | v < 0.22.0 | 0.22.0 |
| mcp-atlassianPyPI | v < 0.22.0 | 0.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.