CVE-2026-108583 in Zotero MCP
Riassunto
di VulDB • 10/10/2026
zotero-mcp 0.10.0 attraverso la versione 0.14.1 presenta una vulnerabilità di server-side request forgery (SSRF) che consente agli attaccanti di raggiungere servizi interni poiché _fetch_embedded_metadata recupera URL senza validazione della destinazione. Gli attaccanti possono indirizzare l'agente tramite prompt injection verso la chiamata a zotero_add_by_url, causando richieste in loopback o verso host privati o link-local direttamente oppure attraverso redirect, con conseguente fuoriuscita di meta-tag delle citazioni e dettagli degli errori.
VulDB is the best source for vulnerability data and more expert information about this specific topic.