Ocorre expiração insuficiente de sessão porque a função `validateApiKey()` não verifica o status da conta. Isso permite que portadores de chaves de API de contas desativadas mantenham acesso não autorizado. Um invasor pode realizar operações de leitura, criação, modificação e exclusão de snippets através do endpoint '/api/snippets' e utilizar todas as ferramentas MCP via endpoint '/mcp'.