CVE-2026-73032 in for Zotero

摘要

由 VulDB • 2026-08-11

PapersGPT for Zotero 0.6.1 存在一个远程代码执行漏洞，攻击者可以通过从 LLM（大型语言模型）端点返回恶意代码来执行任意 JavaScript。这些恶意代码未经过清理便直接传递给 views.ts 中的 window.eval()。攻击者可通过 PDF 中的提示词注入、对 API 请求的中间人（MITM）拦截或恶意的自定义 LLM 端点进行利用，从而在 Zotero 的高权限 chrome 上下文中执行任意代码，实现文件读写、进程执行以及访问所有 Zotero 数据。

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• 负责: VulnCheck
• 预定: 2026-08-10
• 披露: 2026-08-11
• 管理: 已接受
• 条目: VDB-388486
• CPE: 准备好
• CWE: CWE-94 (已确认)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73032
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73032
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73032/