CVE-2026-73299
KrytyczneCVSS 10.0Streszczenie
Prompty to format plików markdown (.prompty) dla promptów LLM. Przed wersjami 0.1.5 i 2.0.0-beta.5, renderer TypeScript Nunjucks oceniał niezaufane treści szablonów .prompty z nieograniczonym dostępem do właściwości JavaScript. Szablon kontrolowany przez atakującego mógł przechodzić przez właściwości konstruktora i prototypu, aby wykonać JavaScript w procesie Node.js na hoście. Problem został naprawiony w wersjach 0.1.5 i 2.0.0-beta.5.
Ocena ryzyka
Ryzyko dla organizacji to zdalne wykonanie kodu w procesie Node.js, co może prowadzić do przejęcia kontroli nad aplikacją i danymi.
Rekomendacja
Zaleca się zaktualizowanie Prompty do wersji 0.1.5 lub 2.0.0-beta.5 oraz unikanie przetwarzania niezaufanych plików .prompty.
Oryginalny opis (angielski, źródło NVD)
Prompty is a markdown file format (.prompty) for LLM prompts. Prior to 0.1.5 and 2.0.0-beta.5, the TypeScript Nunjucks renderer evaluated untrusted .prompty template bodies with unrestricted JavaScript member access. An attacker-controlled template could traverse constructor and prototype properties to execute JavaScript in the host Node.js process. This issue is fixed in versions 0.1.5 and 2.0.0-beta.5.