Уязвимость была обнаружена в KS-GEN-AI jira-mcp-server 0.2.0. Это влияет на функцию axios.get файла src/index.ts компонента add_attachment_from_public_url. Манипулирование аргументом imageUrl приводит к подделке запроса на стороне сервера.
Атака требует локального подхода. Проект был заранее проинформирован о проблеме в отчете о проблеме, но пока не ответил.
Показать оригинальное описание (EN)
A vulnerability was found in KS-GEN-AI jira-mcp-server 0.2.0. This affects the function axios.get of the file src/index.ts of the component add_attachment_from_public_url. The manipulation of the argument imageUrl results in server-side request forgery. The attack requires a local approach. The project was informed of the problem early through an issue report but has not responded yet.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
ks-gen-ai:jira-mcp-server
Ссылки 6
https://vuldb.com/vuln/387253
VDB-387253 | KS-GEN-AI jira-mcp-server add_attachment_from_public_url index.ts axios.get server-side request forgery
https://vuldb.com/vuln/387253/cti
VDB-387253 | CTI Indicators (IOB, IOC, IOA)
https://vuldb.com/cve/CVE-2026-19369
CVE-2026-19369 | CVE Analysis and Report
https://vuldb.com/submit/866267
Submit #866267 | KS-GEN-AI jira-mcp-server 0.2.0 Server-Side Request Forgery
https://github.com/KS-GEN-AI/jira-mcp-server/issues/6
NVD
https://github.com/KS-GEN-AI/jira-mcp-server/
NVD