mcp-atlassian 认证绕过漏洞 CVE-2026-77244

社区 MCP 服务器 mcp-atlassian 被披露存在 CVSS 10.0 的认证绕过漏洞 CVE-2026-77244，任何能访问其 HTTP 服务的人无需账号或 token，即可用部署者的 Atlassian 凭据操作 Jira 和 Confluence。该漏洞源于 token 校验器接受任意非空字符串、默认不启用 OAuth 代理、中间件不拒绝缺失的 Authorization 头，以及取数逻辑回退到环境变量中的操作者凭据，攻击者由此获得该账号可读写的全部项目、工单、评论与页面，且审计日志只记录操作者本人。修复在 2026 年 7 月 10 日发布的 0.22.0 中给出，将全局凭据回退改为默认关闭的 ALLOW_GLOBAL_CRED_FALLBACK；但 SSE 传输路径的同类绕过直到 8 月 19 日的 0.23.1 才修复，0.23.0 及更早版本仍受影响。