CVE-2026-108583：文献管理 MCP 服务器的服务端请求伪造怎么漏的
NVD 十月十三日收录 CVE-2026-108583：zotero-mcp 0.10.0 到 0.14.1 存在服务端请求伪造。问题出在 _fetch_embedded_metadata 这个函数——它会去抓某个 URL 的嵌入元数据，却没有对目标地址做任何校验，攻击者可以让它转而访问内部服务。 SSRF 在 MCP 服务器里意味着什么？ MCP 服务器本质是给大模型当工具的后台进程。如果这个后台会按模型给的 URL 去发请求，而请求又没有限制目的地，那么一段被注入的提示就可以让它访问 http://169.254.169.254 这类云元数据地址、或内网管理接口。模型只是中间人，真正被利用的是服务器自己的网络位置。 抓元数据为什么成了突破口？ 读取链接预览时抓一张图、一段 Open Graph 文本是常见功能，开发时很少想到要限制目标。但「拉取任意 URL」这个动作本身就是一个联网原语。只要没禁掉内网地址段、没限制协议、没做重定向后的二次校验，它就从一个便利功能变成了内网探测通道。 谁该修怎么修？ 受影响版本已明确，使用 zotero-mcp 做文献工具集成的团队应升到修复版本。根因修法是在服务端维护一个地址白名单或内网黑名单，禁止抓取私有网段与元数据端点，并跟随重定向后再次校验。MCP 生态这类「联网取数」工具很多，这个洞提醒人：凡是会替你发请求的工具，都要按 SSRF 来审一遍。 MCP 联网工具该按什么清单审？ 凡是会按模型给的地址发请求的工具，都要问三件事：禁不禁内网与元数据地址、限不限协议到 http 与 https、跟不跟随重定向并在重定向后二次校验。三件事有一件没做，就可能被借道打内网。这套清单适用于所有联网取数型 MCP 服务器，不只文献管理这一个。 去论坛讨论 前往 silicon-agi.com 论坛 参与讨论 你在部署或复现这个技术细节时踩过什么坑？欢迎到论坛交换实测数据与配置片段。