Domaine
Serveurs Model Context Protocol : chaque argument d’outil peut venir d’un agent sous injection de prompt.
3 analyses, 3 vulnérabilités
CVE-2026-77262
8.6 · ÉlevéeMCP Atlassian ouvrait tout file_path passé à son outil d’envoi Confluence : un appelant pouvait lire les fichiers de l’hôte et les exfiltrer en pièce jointe.
CVE-2026-33980
8.3 · ÉlevéeTrois outils de métadonnées d’adx-mcp-server inséraient table_name dans du KQL : un agent pouvait lancer n’importe quelle requête sans passer par execute_query.
CVE-2026-32247
8.1 · ÉlevéeGraphiti insérait les labels des filtres de recherche dans du Cypher brut, permettant de contourner le filtre de groupe.
| Identifiant | Produit | Vulnérabilité | CVSS | Publié |
|---|---|---|---|---|
| CVE-2026-77262 | MCP Atlassian | Path traversal dans confluence_upload_attachment | 8.6 Élevée | |
| CVE-2026-33980 | Azure Data Explorer MCP Server | Injection KQL via table_name dans trois outils de métadonnées | 8.3 Élevée | |
| CVE-2026-32247 | Graphiti | Injection Cypher via SearchFilters.node_labels | 8.1 Élevée |
