Prompty — это формат файла уценки (.prompty) для подсказок LLM. До версий 0.1.5 и 2.0.0-beta.5 средство визуализации TypeScript Nunjucks оценивало ненадежные тела шаблонов .prompty с неограниченным доступом к членам JavaScript. Шаблон, контролируемый злоумышленником, может пересекать свойства конструктора и прототипа для выполнения JavaScript в хост-процессе Node.js.
Эта проблема исправлена в версиях 0.1.5 и 2.0.0-beta.5.
Показать оригинальное описание (EN)
Prompty is a markdown file format (.prompty) for LLM prompts. Prior to 0.1.5 and 2.0.0-beta.5, the TypeScript Nunjucks renderer evaluated untrusted .prompty template bodies with unrestricted JavaScript member access. An attacker-controlled template could traverse constructor and prototype properties to execute JavaScript in the host Node.js process. This issue is fixed in versions 0.1.5 and 2.0.0-beta.5.
Характеристики атаки
Последствия
Строка CVSS v3.1