注目★★★★★GitHub Advisory
Prompty TypeScript ローダーに任意コード実行脆弱性、即パッチ推奨
30秒で把握
- 1@prompty/core v2.0.0-alpha.1 ～ 2.0.0-beta.2 に gray-matter の JS frontmatter 実行脆弱性
- 2untrusted .prompty ファイル読み込みで Node.js 上の任意コード実行が可能に
- 3v2.0.0-beta.3 で修正・JavaScript frontmatter 無効化・即アップグレード推奨
要約
npm パッケージ @prompty/core v2 プレリリース版 (2.0.0-alpha.1 以上 2.0.0-beta.3 未満) に任意コード実行脆弱性が存在する。gray-matter ライブラリがデフォルトで JavaScript frontmatter ブロック (---js など) を実行評価することを利用し、攻撃者が細工した.prompty ファイルを読み込ませると Node.js プロセス上で任意の JavaScript が実行される。ユーザー提供のプロンプトファイルやバンドルを扱うアプリケーションが影響を受ける。v2.0.0-beta.3 で修正され、JavaScript frontmatter エンジンを明示的に無効化し YAML のみを許容するようになった。
あなたへの影響
@prompty/core を v2 プレリリライン利用中のチームは直ちに 2.0.0-beta.3 以上へのアップグレードが必須。
推奨：ユーザー入力や外部ソースのプロンプトファイルを読み込む実装がある場合は、今日中に依存バージョンと実装箇所を確認してパッチを適用すべき。