PT-2026-22386 · Unknown · Mcp-Attlasian

Gil-Maman-P + 1 · Publicado 2026-02-27 · Atualizado 2026-04-22 · CVE-2026-27825

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas mcp-atlassian (versões afetadas não especificadas)

Descrição O software contém uma falha crítica de execução remota de código (RCE) não autenticada e falsificação de solicitação do lado do servidor (SSRF). A RCE é resultado de uma gravação arbitrária de arquivos, levando à execução arbitrária de código através de um download path sem restrições na função confluence download attachment.

Recomendações Até o momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Path traversal

Enumeração de Fraquezas

CWE-73

CWE-22

Identificadores relacionados

CVE-2026-27825

GHSA-XJGW-4WVW-RGM4

Produtos afetados

Mcp-Attlasian

Referências · 26

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27825.json · Exploit
• https://github.com/sooperset/mcp-atlassian/security/advisories/GHSA-xjgw-4wvw-rgm4 · Aviso do Fabricante
• https://github.com/sooperset/mcp-atlassian/commit/52b9b0997681e87244b20d58034deae89c91631e · Correção
• https://github.com/sooperset/mcp-atlassian · Nota
• https://twitter.com/HermeticSys/status/2046914421365354947 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2031451098951688251 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2031470522576290140 · Publicação no Twitter
• https://reddit.com/r/tellerstech/comments/1rn18ls/ship_it_weekly_podcast_aws_bahrainuae_data_center · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-27825 · Nota de Segurança
• https://twitter.com/ChannelSkell/status/2034348164359106599 · Publicação no Twitter
• https://twitter.com/guava_asi/status/2028966602591670702 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-27825 · Aviso do Fabricante
• https://twitter.com/vulert_official/status/2031732584544395399 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2031504155043405893 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-xjgw-4wvw-rgm4 · Aviso do Fabricante