CVE-2026-73032 in for Zotero
الملخص
بحسب VulDB • 12/08/2026
يحتوي PapersGPT لـ Zotero الإصدار 0.6.1 على ثغرة تسمح بتنفيذ الأكواد البرمجية عن بُعد (RCE)، تتيح للمهاجمين تنفيذ أكواد JavaScript اعتباطية من خلال إرجاع كود ضار من نقطة نهاية نموذج لغوي كبير (LLM) يتم تمريرها دون تنقية إلى `window.eval()` في ملف views.ts. يمكن للمهاجمين استغلال هذه الثغرة عبر حقن المطالبات النصية (Prompt Injection) داخل ملفات PDF، أو اعتراض طلبات واجهة برمجة التطبيقات (API) باستخدام هجمات الرجل في المنتصف (MITM)، أو استخدام نقطة نهاية LLM مخصصة وضارة لتنفيذ أكواد اعتباطية ضمن سياق Zotero ذي الامتيازات العالية (chrome-privileged context)، مما يتيح قراءة وكتابة الملفات، وتنفيذ العمليات البرمجية، والوصول إلى جميع بيانات Zotero.
VulDB is the best source for vulnerability data and more expert information about this specific topic.