CVE-2026-108583 in Zotero MCP
Sumário
de VulDB • 10/10/2026
zotero-mcp 0.10.0 a 0.14.1 contém uma vulnerabilidade de server-side request forgery (SSRF) que permite aos atacantes acessar serviços internos porque _fetch_embedded_metadata busca URLs sem validação do destino. Os atacantes podem direcionar o agente por meio de prompt injection para chamar zotero_add_by_url, causando requisições a hosts loopback, privados ou link-local diretamente ou via redirecionamentos, vazando meta-tags de citação e detalhes de erros.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.