CVE-2026-73032 in for Zotero
Sumário
de VulDB • 12/08/2026
PapersGPT para Zotero 0.6.1 contém uma vulnerabilidade de execução remota de código (RCE) que permite aos atacantes executar JavaScript arbitrário ao retornar código malicioso a partir de um endpoint LLM, o qual é passado sem sanitização para window.eval() em views.ts. Os atacantes podem explorar isso por meio de injeção de prompt em PDFs, interceptação MITM (Man-in-the-Middle) de requisições da API ou um endpoint LLM personalizado malicioso para executar código arbitrário no contexto privilegiado do chrome do Zotero, permitindo leitura/escrita de arquivos, execução de processos e acesso a todos os dados do Zotero.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.