CVE-2025-64110

Cursor IDE dla macOS przed wersją 3.0.0 pozwala agentowi działającemu w trybie Auto-Run Sandbox, gdy zainstalowane są Docker Desktop i Dev Containers CLI, na uruchomienie uprzywilejowanego kontenera i zamontowanie virtiofs0 Docker, co daje odczyt i zapis do katalogu domowego użytkownika oraz umożliwia wykonywanie poleceń na hoście z uprawnieniami użytkownika bez dodatkowego monitu o zgodę.

Cursor IDE dla macOS przed wersją 3.1.2 pozwala agentowi działającemu w trybie Auto-Run Sandbox na zastąpienie pliku wykonywalnego Pythona w środowisku wirtualnym złośliwym wrapperem, który rozszerzenie Microsoft Python wywołuje poza sandboxem, umożliwiając wykonywanie dowolnych poleceń na hoście z uprawnieniami użytkownika, w tym modyfikację plików poza obszarem roboczym i uruchamianie aplikacji.

Podatność polegająca na podstawieniu złośliwego pliku git.exe w katalogu głównym repozytorium. Gdy programista sklonuje i otworzy spreparowane repozytorium, Cursor automatycznie uruchomi złośliwy plik bez interakcji użytkownika, co prowadzi do wykonania dowolnego kodu.

Podatność w edytorze Cursor przed 31.03.2026 umożliwiała atakującym kontrolowaną treść webową na połączenie z nieuwierzytelnionym lokalnym endpointem agenta w chmurze, co pozwalało na wykonanie kodu w piaskownicy agenta oraz dostęp do plików, repozytoriów, zmiennych środowiskowych, poświadczeń i tokenów GitHub App. Problem został naprawiony 31.03.2026 przez wymuszenie uwierzytelniania dla odpowiedniego endpointu.

Cursor w wersjach 1.7.44 i wcześniejszych ma podatność związaną z obejściami ścieżek NTFS, które pozwalają atakującemu wykorzystującemu prompt injection na obejście ochrony wrażliwych plików i nadpisanie plików wymagających zatwierdzenia przez człowieka. Modyfikacja niektórych chronionych plików może prowadzić do RCE.

W edytorze Cursor w wersjach 1.7.52 i starszych manipulacja wewnętrznymi ustawieniami może prowadzić do zdalnego wykonania kodu (RCE). Cursor wykrywa manipulację ścieżkami za pomocą ukośników (./.cursor/./././././mcp.json), ale nie wykrywa poprawnie tej samej manipulacji przy użyciu odwrotnych ukośników, co pozwala na nadpisanie wrażliwych plików edytora bez zatwierdzenia na systemach Windows.

W Cursor w wersjach 1.7.28 i starszych błąd walidacji danych wejściowych przy instalacji serwera MCP pozwala spreparowanym deep-linkom ominąć standardowe ostrzeżenia bezpieczeństwa i ukryć wykonywane polecenia przed użytkownikiem. Jeśli ofiara zaakceptuje serwer, wykonane zostaną polecenia wskazane przez atakującego.

Cursor IDE w wersjach 1.6.23 i starszych stosuje sprawdzanie wielkości liter przy ochronie plików wrażliwych (np. */.cursor/mcp.json), co pozwala atakującemu zmodyfikować ich zawartość przez prompt injection. Na systemach plików nierozróżniających wielkości liter może to prowadzić do pełnego zdalnego wykonania kodu.

Podatność w edytorze Cursor w wersjach 1.7 i niższych. Automatyczne ładowanie konfiguracji CLI z katalogu projektu (.cursor/cli.json) może nadpisać globalne ustawienia i umożliwić zdalne wykonanie kodu poprzez połączenie permisywnej konfiguracji i wstrzyknięcia promptu.

Cursor w wersji 1.7 i wcześniejszych, gdy MCP używa uwierzytelniania OAuth z niezaufanym serwerem MCP, pozwala atakującemu podszyć się pod złośliwy serwer MCP i zwrócić spreparowane, złośliwie wstrzyknięte polecenia podczas interakcji, prowadząc do wstrzyknięcia poleceń i potencjalnego zdalnego wykonania kodu. Może to doprowadzić do wykonania dowolnego kodu na hoście przez agenta z pełnymi uprawnieniami użytkownika. Brak oficjalnej wersji poprawki, ale istnieje łatka 2025.09.17-25b418f.