CVE-2026-77255
Açıklama
MCP Atlassian, Atlassian ürünleri (Confluence ve Jira) için bir Model Context Protocol (MCP) sunucusudur. 0.22.0 sürümünden önce, Jira update_issue attachments argümanı yerel yollara dönüştürülmekte ve çalışma alanı doğrulaması yapılmadan ek yükleme uygulamasına yönlendirilmektedir. Bir çağrıcı, MCP sunucusunun rastgele yerel dosyaları okumasını sağlayıp bunları bir Jira kaydına ekleyebilir ve içerikleri sızdırmak için sunucuyu bir "confused deputy" olarak kullanabilir. Güvenlik bildirimi; etkilenen giriş noktalarını, kontrolleri ve kod yollarını belirleyen jira update_issue, attachments, upload_attachment ve file_path üzerinden savunmasız girdi ve işleme akışını takip etmektedir. Bu sorun 0.22.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- mcp-atlassian mcp_atlassian0.22.0 ya da sonraki bir sürüm
- mcp-atlassian0.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mcp-atlassian mcp_atlassian | v < 0.22.0 | 0.22.0 |
| mcp-atlassianPyPI | v < 0.22.0 | 0.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.