Le journal DFS
Model Context Protocol
-
CVE-2026-77251 : les filtres de projets et espaces MCP Atlassian peuvent être contournés
P3 · Élevée · CVE-2026-77251 — Les restrictions JIRA_PROJECTS_FILTER et CONFLUENCE_SPACES_FILTER de mcp-atlassian ne constituent pas une frontière d’autorisation fiable dans les versions affectées, exposant des…
-
CVE-2026-77271 : écriture hors répertoire et risque d’exécution de code dans mcp-atlassian
P3 · Élevée · CVE-2026-77271 — Des appels Confluence omettaient le répertoire de base lors de la validation d’un chemin. La validation utilisait alors le répertoire…
-
CVE-2026-77274 : contournement SSRF dans MCP Atlassian via URL avec antislash
P3 · Élevée · CVE-2026-77274 — La validation SSRF de mcp-atlassian peut être contournée avec des URL utilisant une barre oblique inverse avant une syntaxe de…
-
CVE-2026-77248 : lecture de fichiers non authentifiée via le transport HTTP de mcp-atlassian
P3 · Élevée · CVE-2026-77248 — Une chaîne combinant l’absence d’identité utilisateur du transport streamable HTTP et un chemin de fichier non contraint dans les outils…
-
CVE-2026-77244 : contournement critique d’authentification dans mcp-atlassian HTTP
P2 · Critique · CVE-2026-77244 — L’implémentation HTTP de mcp-atlassian accepte tout jeton non vide via AtlassianOpaqueTokenVerifier. Dans les déploiements distants ou multi-utilisateurs, cette défaillance peut…
-
CVE-2026-77516 : contournement des permissions d’outils et de secrets dans MaxKB
P4 · Moyenne · CVE-2026-77516 — Dans MaxKB, un membre d’espace privé d’accès à un outil peut l’associer via les chemins agent ou workflow et l’exécuter…
-
CVE-2026-61612 : contournement SSRF par résolution DNS dans @aborruso/ckan-mcp-server
P3 · Moyenne · CVE-2026-61612 — Le contrôle SSRF de @aborruso/ckan-mcp-server valide le texte du nom d’hôte mais ne résout pas le DNS avant la connexion,…
-
CVE-2026-77519 : contournement de l’expiration des clés applicatives sur l’API MCP de MaxKB
P4 · Moyenne · CVE-2026-77519 — L’authentification de l’endpoint MCP de MaxKB accepte des clés applicatives non permanentes restées actives après leur expiration, alors que l’API…
-
CVE-2026-77518 : fuite de configurations MCP entre utilisateurs d’un même espace MaxKB
P4 · Moyenne · CVE-2026-77518 — Un utilisateur MaxKB peut accéder au détail d’un outil MCP actif appartenant à un autre utilisateur du même espace s’il…
-
CVE-2026-61647 : traversal et écriture arbitraire dans @roomi-fields/notebooklm-mcp
P2 · Élevée · CVE-2026-61647 — L’outil vault.batch et l’endpoint HTTP équivalent de @roomi-fields/notebooklm-mcp acceptent un répertoire de coffre contrôlé par le client sans contrôle de…