🇰🇷 한글 설명
Prompty는 LLM 프롬프트를 위한 마크다운 파일 형식입니다. 0.1.5 및 2.0.0-beta.5 이전 버전의 TypeScript Nunjucks 렌더러는 신뢰할 수 없는 .prompty 템플릿 본문을 제한 없는 JavaScript 멤버 액세스로 평가하는 취약점이 있습니다. 공격자는 constructor 및 prototype 속성을 탐색하여 호스트 Node.js 프로세스에서 JavaScript를 실행할 수 있습니다.
💡 쉬운 설명
악의적으로 작성된 프롬프트 파일을 실행하면 해커가 사용자의 컴퓨터에서 몰래 명령어를 실행할 수 있는 보안 결함입니다. 이 문제는 특정 버전의 Prompty 라이브러리를 사용할 때 발생합니다.
🇺🇸 원문 (English)
Prompty is a markdown file format (.prompty) for LLM prompts. Prior to 0.1.5 and 2.0.0-beta.5, the TypeScript Nunjucks renderer evaluated untrusted .prompty template bodies with unrestricted JavaScript member access. An attacker-controlled template could traverse constructor and prototype properties to execute JavaScript in the host Node.js process. This issue is fixed in versions 0.1.5 and 2.0.0-beta.5.
📍 영향받는 시스템
Prompty < 0.1.5 및 < 2.0.0-beta.5
⚔️ 공격 벡터
신뢰할 수 없는 .prompty 템플릿 파일을 렌더링하여 JavaScript 코드 실행(RCE) 유도
🛡️ 대응 방법
Prompty 라이브러리를 0.1.5 또는 2.0.0-beta.5 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.1.5 미만이거나 2.0.0-beta.5 미만인지 확인하십시오.
npm list prompty | grep prompty