CVE-2026-55640
Təsvir
Nextcloud MCP Server, süni intellekt köməkçilərini Nextcloud instansiyasına bağlayan istehsalat üçün hazır MCP serveridir. Versiya 0.117.2-dən əvvəl, nextcloud_mcp_server/vector/webhook_receiver.py faylındakı POST /webhooks/nextcloud son nöqtəsi (endpoint) standart olaraq autentifikasiya tələb etmir, çünki WEBHOOK_SECRET standart olaraq None dəyərinə malikdir və start yoxlaması bunu tələb etmir. WEBHOOK_SECRET təyin edilmədikdə, handle_nextcloud_webhook() funksiyası autentifikasiya olunmamış sorğuları qəbul edir. nextcloud_mcp_server/vector/webhook_parser.py faylında analiz edilən payload["user"]["uid"] sahəsi hücum edən tərəf tərəfindən idarə olunur və Qdrant əməliyyatları üçün autentifikasiya edilmiş sessiya ilə çarpaz yoxlama aparılmadan istifadə edilir. Bu, şəbəkə hücumçusuna saxtalaşdırılmış silmə hadisələri göndərməklə hər hansı istifadəçi üçün vektor yerləşdirmələrini (embeddings) silməyə və ya yenidən indekslənməsini tətikləməyə, həmçinin semantik axtarış indeksini məhv etməyə imkan verir. Bu problem 0.117.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- nextcloud-mcp-server0.117.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nextcloud-mcp-serverPyPI | v < 0.117.2 | 0.117.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.