Plateforme
nodejs
Composant
prompts-chat
Corrigé dans
0f8d4c381abd7b2d7478c9fdee9522149c2d65e5
Une vulnérabilité de traversal de chemin a été découverte dans prompts.chat, affectant les versions antérieures à 0f8d4c381abd7b2d7478c9fdee9522149c2d65e5. Cette faille permet à des attaquants d'écrire des fichiers arbitraires sur le système client en exploitant un manque de validation côté serveur des noms de fichiers dans les archives ZIP des fichiers de compétences. La correction est disponible dans la version 0f8d4c381abd7b2d7478c9fdee9522149c2d65e5.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'injecter des séquences de traversal de chemin (../) dans les archives ZIP des fichiers de compétences. Lorsque ces archives sont extraites par des outils vulnérables, les fichiers sont écrits en dehors du répertoire prévu, permettant potentiellement d'écraser des fichiers critiques du système, tels que les fichiers d'initialisation du shell. Cela pourrait conduire à une exécution de code arbitraire sur le système client, compromettant ainsi la confidentialité, l'intégrité et la disponibilité du système. Le risque est particulièrement élevé si l'application est utilisée dans un environnement où les utilisateurs peuvent télécharger et exécuter des fichiers de compétences non approuvés.
Cette vulnérabilité a été rendue publique le 2026-04-03. Il n'y a pas d'indications d'une exploitation active à ce jour. Aucun PoC public n'est connu. La vulnérabilité n'a pas encore été ajoutée au catalogue KEV de CISA. La probabilité d'exploitation est considérée comme faible en raison de la nécessité d'une manipulation d'archive ZIP malveillante.
Users of prompts.chat who are accepting skill files from untrusted sources are at significant risk. This includes developers integrating prompts.chat into their applications and users who are deploying prompts.chat in environments where they cannot fully control the input data. Shared hosting environments where multiple users share the same server are also particularly vulnerable.
• nodejs / server:
find /path/to/prompts.chat/skill_files -name '*[./\*]' -print• nodejs / server:
ps aux | grep prompts.chat | grep -i 'skill_files'• generic web: Inspect server logs for unusual file access patterns or errors related to ZIP archive extraction. • generic web: Check for unexpected files in the application's skill file directory.
disclosure
Statut de l'Exploit
EPSS
0.03% (percentile 10%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à niveau prompts.chat vers la version corrigée 0f8d4c381abd7b2d7478c9fdee9522149c2d65e5. En attendant la mise à niveau, il est fortement recommandé de désactiver temporairement le téléchargement et l'exécution de fichiers de compétences provenant de sources non fiables. Une solution de contournement pourrait consister à implémenter une validation stricte côté serveur des noms de fichiers extraits des archives ZIP, en interdisant les séquences de traversal de chemin. Après la mise à niveau, vérifiez que les fichiers de compétences sont correctement validés et que les fichiers sont écrits dans le répertoire prévu.
Actualice a la versión 0.0.0 o posterior, que corrige la vulnerabilidad de recorrido de ruta. Esto implica actualizar el paquete 'prompts.chat' a la última versión disponible en el repositorio de GitHub.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-22661 is a Path Traversal vulnerability in prompts.chat allowing attackers to write arbitrary files, potentially leading to code execution. It affects versions prior to 0f8d4c381abd7b2d7478c9fdee9522149c2d65e5.
You are affected if you are using prompts.chat versions 0.0.0–0f8d4c381abd7b2d7478c9fdee9522149c2d65e5 and accept skill files from untrusted sources.
Upgrade to version 0f8d4c381abd7b2d7478c9fdee9522149c2d65e5 or implement strict filename validation on the server-side.
There is currently no indication that CVE-2026-22661 is being actively exploited.
Refer to the prompts.chat project repository for the latest security advisories and updates.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.