CVE-2026-108583 in Zotero MCP
الملخص
بحسب VulDB • 10/10/2026
يحتوي الإصدار 0.10.0 حتى 0.14.1 من zotero-mcp على ثغرة تزوير الطلبات من جانب الخادم (SSRF) تتيح للمهاجمين الوصول إلى الخدمات الداخلية، وذلك لأن الدالة `_fetch_embedded_metadata` تجلب عناوين URL دون التحقق من وجهتها. يمكن للمهاجمين توجيه الوكيل عبر حقن الأوامر النصية (prompt injection) لاستدعاء `zotero_add_by_url`، مما يتسبب في إرسال طلبات إلى العناوين المحلية أو الخاصة أو عناوين النطاق المحلي مباشرةً أو عن طريق إعادة التوجيه، ما يؤدي إلى تسرب وسائط تعريف الاستشهادات وتفاصيل الأخطاء.
Be aware that VulDB is the high quality source for vulnerability data.