CVE-2025-64107

Cursor IDE dla macOS przed wersją 3.0.0 pozwala agentowi działającemu w trybie Auto-Run Sandbox, gdy zainstalowane są Docker Desktop i Dev Containers CLI, na uruchomienie uprzywilejowanego kontenera i zamontowanie virtiofs0 Docker, co daje odczyt i zapis do katalogu domowego użytkownika oraz umożliwia wykonywanie poleceń na hoście z uprawnieniami użytkownika bez dodatkowego monitu o zgodę.

Cursor IDE dla macOS przed wersją 3.1.2 pozwala agentowi działającemu w trybie Auto-Run Sandbox na zastąpienie pliku wykonywalnego Pythona w środowisku wirtualnym złośliwym wrapperem, który rozszerzenie Microsoft Python wywołuje poza sandboxem, umożliwiając wykonywanie dowolnych poleceń na hoście z uprawnieniami użytkownika, w tym modyfikację plików poza obszarem roboczym i uruchamianie aplikacji.

Podatność polegająca na podstawieniu złośliwego pliku git.exe w katalogu głównym repozytorium. Gdy programista sklonuje i otworzy spreparowane repozytorium, Cursor automatycznie uruchomi złośliwy plik bez interakcji użytkownika, co prowadzi do wykonania dowolnego kodu.

Podatność w edytorze Cursor przed 31.03.2026 umożliwiała atakującym kontrolowaną treść webową na połączenie z nieuwierzytelnionym lokalnym endpointem agenta w chmurze, co pozwalało na wykonanie kodu w piaskownicy agenta oraz dostęp do plików, repozytoriów, zmiennych środowiskowych, poświadczeń i tokenów GitHub App. Problem został naprawiony 31.03.2026 przez wymuszenie uwierzytelniania dla odpowiedniego endpointu.

W edytorze kodu Cursor w wersjach 1.7.23 i starszych występuje błąd logiczny, który pozwala złośliwemu agentowi AI odczytać pliki chronione przez cursorignore. Atakujący, który uzyskał już prompt injection lub kontroluje model, może utworzyć nowy plik cursorignore, unieważniając konfigurację istniejących plików i uzyskując dostęp do chronionych danych.

Cursor w wersjach 1.7.44 i wcześniejszych ma podatność związaną z obejściami ścieżek NTFS, które pozwalają atakującemu wykorzystującemu prompt injection na obejście ochrony wrażliwych plików i nadpisanie plików wymagających zatwierdzenia przez człowieka. Modyfikacja niektórych chronionych plików może prowadzić do RCE.

W Cursor w wersjach 1.7.28 i starszych błąd walidacji danych wejściowych przy instalacji serwera MCP pozwala spreparowanym deep-linkom ominąć standardowe ostrzeżenia bezpieczeństwa i ukryć wykonywane polecenia przed użytkownikiem. Jeśli ofiara zaakceptuje serwer, wykonane zostaną polecenia wskazane przez atakującego.

Cursor IDE w wersjach 1.6.23 i starszych stosuje sprawdzanie wielkości liter przy ochronie plików wrażliwych (np. */.cursor/mcp.json), co pozwala atakującemu zmodyfikować ich zawartość przez prompt injection. Na systemach plików nierozróżniających wielkości liter może to prowadzić do pełnego zdalnego wykonania kodu.

Podatność w edytorze Cursor w wersjach 1.7 i niższych. Automatyczne ładowanie konfiguracji CLI z katalogu projektu (.cursor/cli.json) może nadpisać globalne ustawienia i umożliwić zdalne wykonanie kodu poprzez połączenie permisywnej konfiguracji i wstrzyknięcia promptu.

Cursor w wersji 1.7 i wcześniejszych, gdy MCP używa uwierzytelniania OAuth z niezaufanym serwerem MCP, pozwala atakującemu podszyć się pod złośliwy serwer MCP i zwrócić spreparowane, złośliwie wstrzyknięte polecenia podczas interakcji, prowadząc do wstrzyknięcia poleceń i potencjalnego zdalnego wykonania kodu. Może to doprowadzić do wykonania dowolnego kodu na hoście przez agenta z pełnymi uprawnieniami użytkownika. Brak oficjalnej wersji poprawki, ale istnieje łatka 2025.09.17-25b418f.