CVE-2026-73032

Nome do Software Vulnerável e Versões Afetadas PapersGPT for Zotero versão 0.6.1

Descrição Um problema de execução remota de código existe onde JavaScript arbitrário pode ser executado ao retornar código malicioso de um endpoint de LLM. Isso ocorre porque a resposta é passada sem sanitização para a função window.eval() em views.ts. A exploração pode ser alcançada por meio de injeção de prompt em PDFs, interceptação Man-in-the-Middle (MITM) de requisições de API ou o uso de um endpoint de LLM personalizado malicioso. A exploração bem-sucedida permite a execução de código arbitrário no contexto privilegiado do chrome do Zotero, concedendo ao invasor capacidades de leitura e gravação de arquivos, execução de processos e acesso a todos os dados do Zotero.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.