CVE-2026-73032
Açıklama
PapersGPT for Zotero 0.6.1, views.ts dosyasındaki window.eval() fonksiyonuna temizlenmeden aktarılan bir LLM uç noktasından kötü amaçlı kod döndürerek saldırganların rastgele JavaScript yürütmesine olanak tanıyan bir uzaktan kod çalıştırma zafiyeti içermektedir. Saldırganlar; PDF'lerdeki istem enjeksiyonu (prompt injection), API isteklerinin MITM ileleyle yakalanması veya kötü amaçlı özel bir LLM uç noktası aracılığıyla bu durumu istismar ederek Zotero'nun chrome ayrıcalıklı bağlamında rastgele kod çalıştırabilir; böylece dosya okuma/yazma, işlem yürütme ve tüm Zotero verilerine erişim sağlayabilirler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| papersgpt papersgpt-for-zotero | v ≤ 0.6.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.