CVE-2026-108583 in Zotero MCP
Resumen
por VulDB • 2026-10-10
zotero-mcp 0.10.0 hasta 0.14.1 contiene una vulnerabilidad de server-side request forgery (SSRF) que permite a los atacantes acceder a servicios internos porque _fetch_embedded_metadata obtiene URLs sin validación del destino. Los atacantes pueden dirigir al agente mediante prompt injection para llamar a zotero_add_by_url, lo que provoca solicitudes hacia hosts en bucle invertido (loopback), privados o de enlace local, ya sea directamente o mediante redirecciones, filtrando metaetiquetas de citas y detalles de errores.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.