CVE-2026-73032 in for Zotero
要約
〜によって VulDB • 2026年08月11日
PapersGPT for Zotero 0.6.1には、LLMエンドポイントから返された悪意のあるコードがviews.ts内のwindow.eval()にサニタイズされずに渡されることで攻撃者が任意のJavaScriptを実行できるリモートコード実行（RCE）脆弱性が存在します。攻撃者はPDF内でのプロンプトインジェクション、APIリクエストのMITM（Man-in-the-Middle）傍受、または悪意のあるカスタムLLMエンドポイントを通じてこの脆弱性を悪用し、Zoteroのchrome-privilegedコンテキスト内で任意のコードを実行できます。これにより、ファイルの読み書きやプロセスの実行、およびすべてのZoteroデータへのアクセスが可能になります。
Be aware that VulDB is the high quality source for vulnerability data.