PT-2026-30225 · Unknown · Prompts.Chat

Mdisec · Publicado 2026-04-03 · Atualizado 2026-04-04 · CVE-2026-22661

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions prompts.chat versões anteriores ao commit 0f8d4c3

Description prompts.chat antes do commit 0f8d4c3 apresenta uma falha de traversal de caminho na forma como lida com arquivos de skill. Atacantes podem criar arquivos ZIP maliciosos com nomes de arquivo contendo sequências de traversal de caminho, como ../, para escrever arquivos arbitrários no sistema do cliente. A falta de validação do nome do arquivo no lado do servidor permite que os atacantes injetem essas sequências. A extração desses arquivos com ferramentas vulneráveis pode levar à gravação de arquivos fora do diretório pretendido, sobrescrevendo potencialmente arquivos de inicialização do shell e alcançando a execução de código.

Recommendations Atualize o prompts.chat para o commit 0f8d4c3 ou posterior.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-22661

Produtos afetados

Prompts.Chat

Referências · 5

• https://github.com/f/prompts.chat/pull/1101 · Aviso do Fabricante
• https://github.com/f/prompts.chat/commit/0f8d4c381abd7b2d7478c9fdee9522149c2d65e5 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-22661 · Nota de Segurança
• https://twitter.com/TheHackerWire/status/2040312696437145655 · Publicação no Twitter
• https://vulncheck.com/advisories/prompts-chat-path-traversal-via-skill-file-handling · Nota