CVE-2026-55640

Nextcloud MCP Server, yapay zeka asistanlarını bir Nextcloud örneğine bağlayan üretime hazır bir MCP sunucusudur. 0.117.2 sürümünden önce, nextcloud_mcp_server/vector/webhook_receiver.py içindeki POST /webhooks/nextcloud uç noktası varsayılan olarak kimlik doğrulamasına sahip değildir çünkü WEBHOOK_SECRET varsayılan olarak None değerini alır ve başlangıç doğrulaması bunu zorunlu kılmaz. WEBHOOK_SECRET ayarlanmadığında, handle_nextcloud_webhook() kimlik doğrulaması yapılmamış istekleri kabul eder. nextcloud_mcp_server/vector/webhook_parser.py içinde ayrıştırılan payload["user"]["uid"] alanı saldırgan tarafından kontrol edilir ve Qdrant işlemleri için kimliği doğrulanmış oturumla çapraz kontrol yapılmadan kullanılır; bu da bir ağ saldırganının herhangi bir kullanıcı için vektör gömme değerlerini silmesine veya yeniden indekslemeyi tetiklemesine ve sahte silme olayları göndererek anlamsal arama dizinini yok etmesine olanak tanır. Bu sorun 0.117.2 sürümünde giderilmiştir.