CVE-2026-55640

Nome do Software Vulnerável e Versões Afetadas Nextcloud MCP Server versões anteriores a 0.117.2

Description O endpoint POST /webhooks/nextcloud não possui autenticação por padrão porque a variável WEBHOOK SECRET assume o valor None por padrão e não é exigida durante a validação de inicialização. Quando este segredo não está definido, a função handle nextcloud webhook() aceita requisições não autenticadas. Um atacante de rede pode explorar isso fornecendo um campo payload["user"]["uid"] forjado, que é utilizado para operações no Qdrant sem uma verificação cruzada de sessão autenticada. Isso permite que um atacante exclua ou acione a reindexação de embeddings de vetores de qualquer usuário, podendo destruir todo o índice de busca semântica.

Recommendations Atualize para a versão 0.117.2. Como medida de mitigação temporária, certifique-se de que o WEBHOOK SECRET esteja explicitamente configurado e não definido como None para habilitar a autenticação no endpoint POST /webhooks/nextcloud.