CVE-2026-77250
Açıklama
MCP Atlassian, Atlassian ürünleri (Confluence ve Jira) için bir Model Context Protocol (MCP) sunucusudur. 0.22.0 sürümünden önce OAuthConfig, erişim ve yenileme jetonlarını içeren düz metin bir yedek dosyasını, kullanıcının .mcp-atlassian dizini altında işlem varsayılan izinlerini kullanarak yazar. İzin verici bir umask yapılandırmasına sahip sistemlerde, aynı gruptaki veya diğer yerel kullanıcılar ile süreçler, kalıcı hale getirilen jetonları okuyabilir ve ilişkili Atlassian erişimini yeniden kullanabilir. Güvenlik bildirimi; etkilenen giriş noktalarını, kontrolleri ve kod yollarını belirleyen OAuthConfig._save_tokens, ~/.mcp-atlassian/oauth-<client_id>.json, access_token ve refresh_token üzerinden savunmasız girdi ve işleme akışını takip etmektedir. Bu sorun 0.22.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- mcp-atlassian0.22.0 ya da sonraki bir sürüm
- mcp-atlassian mcp_atlassian0.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mcp-atlassianPyPI | v < 0.22.0 | 0.22.0 |
| mcp-atlassian mcp_atlassian | v < 0.22.0 | 0.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.