CVE-2026-77272 : XSS réfléchie dans le callback OAuth de mcp-atlassian

Veille sécuritéIA & API

P4Moyenne

Le paramètre error d’un callback OAuth était inséré dans une réponse HTML sans encodage, permettant l’injection de balisage ou de script dans le navigateur de l’utilisateur réalisant la configuration OAuth.

IdentifiantCVE-2026-77272

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif0.22.0

Source : CVE-2026-77272 — NVD

Analyse technique

Le gestionnaire CallbackHandler transmet une valeur de requête contrôlée par l’attaquant à la réponse HTML de l’assistant de configuration sans échappement approprié. Le serveur de callback est également décrit comme lié à toutes les interfaces réseau dans l’advisory.

Impact, versions et correctif

VecteurNavigation vers une URL de callback OAuth spécialement construite.

PréconditionsAssistant de configuration OAuth actif et victime atteignant le callback manipulé.

ImpactExécution de script dans le contexte du navigateur de l’utilisateur pendant la procédure OAuth.

Versions affectéesVersions antérieures à 0.22.0.

Version corrigée0.22.0

ContournementExécuter la configuration OAuth sur une interface loopback isolée du réseau et éviter les liens de callback non fiables.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.4

Publication2026-09-22T21:16:51+02:00

Mise à jour2026-09-22T21:16:51+02:00

Détection / vérification

Rechercher des valeurs error contenant des balises ou caractères d’encodage suspects dans les journaux du callback OAuth.

Action recommandée

Mettre à niveau vers 0.22.0 ou ultérieur et restreindre l’accès au serveur de callback OAuth.

Sources

Priorisation DFS : P4 · 2 source(s).