Fortress07

**Nome do Software Vulnerável e Versões Afetadas** Nextcloud MCP Server versões anteriores a 0.117.2 **Description** O endpoint `POST /webhooks/nextcloud` não possui autenticação por padrão porque a variável `WEBHOOK SECRET` assume o valor `None` por padrão e não é exigida durante a validação de inicialização. Quando este segredo não está definido, a função `handle nextcloud webhook()` aceita requisições não autenticadas. Um atacante de rede pode explorar isso fornecendo um campo `payload["user"]["uid"]` forjado, que é utilizado para operações no Qdrant sem uma verificação cruzada de sessão autenticada. Isso permite que um atacante exclua ou acione a reindexação de embeddings de vetores de qualquer usuário, podendo destruir todo o índice de busca semântica. **Recommendations** Atualize para a versão 0.117.2. Como medida de mitigação temporária, certifique-se de que o `WEBHOOK SECRET` esteja explicitamente configurado e não definido como `None` para habilitar a autenticação no endpoint `POST /webhooks/nextcloud`.