CVE-2026-55640

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.5%
CWE: CWE-306
KEV Durumu: Hayır

Yayım tarihi: 25 Ağustos 2026

Nextcloud MCP Sunucusu, AI asistanlarını bir Nextcloud örneğine bağlayan üretim için hazır bir MCP sunucusudur. 0.117.2 sürümünden önce, nextcloud_mcp_server/vector/webhook_receiver.py'deki POST /webhooks/nextcloud endpointinin varsayılan olarak kimlik doğrulaması yoktur çünkü WEBHOOK_SECRET varsayılan olarak None değerini alır ve başlatma doğrulaması bunu gerektirmez. WEBHOOK_SECRET ayarlanmamış olduğunda, handle_nextcloud_webhook() işlevi kimlik doğrulaması yapılmayan istekleri kabul eder. nextcloud_mcp_server/vector/webhook_parser.py'de ayrıştırılan payload["user"]["uid"] alanı saldırgan tarafından kontrol edilir ve kimlik doğrulama oturumu çapraz doğrulaması olmadan Qdrant işlemleri için kullanılır, bu da bir ağ saldırganının herhangi bir kullanıcı için vektör gömme işlemlerini silmesine veya yeniden dizine almasına izin verir ve sahte silme olayları göndererek anlamsal arama dizinini yok edebilir. Bu sorun 0.117.2 sürümünde giderilmiştir.

Orijinal açıklama (İngilizce)

Nextcloud MCP Server is a production-ready MCP server that connects AI assistants to a Nextcloud instance. Prior to 0.117.2, the POST /webhooks/nextcloud endpoint in nextcloud_mcp_server/vector/webhook_receiver.py has no authentication by default because WEBHOOK_SECRET defaults to None and startup validation does not require it. When WEBHOOK_SECRET is unset, handle_nextcloud_webhook() accepts unauthenticated requests. The payload["user"]["uid"] field parsed in nextcloud_mcp_server/vector/webhook_parser.py is attacker-controlled and is used without an authenticated-session cross-check for Qdrant operations, allowing a network attacker to delete or trigger re-indexing of vector embeddings for any user and to destroy the semantic search index by sending forged deletion events. This issue is fixed in version 0.117.2.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.