CVE-2026-63093
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność polegająca na podstawieniu złośliwego pliku git.exe w katalogu głównym repozytorium. Gdy programista sklonuje i otworzy spreparowane repozytorium, Cursor automatycznie uruchomi złośliwy plik bez interakcji użytkownika, co prowadzi do wykonania dowolnego kodu.
Ocena ryzyka
Atakujący może przejąć kontrolę nad stacją roboczą programisty, uzyskując dostęp do poufnych danych, kodu źródłowego i poświadczeń, co może skutkować naruszeniem bezpieczeństwa całej organizacji.
Rekomendacja
Zaktualizuj Cursor for Windows do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji unikaj klonowania i otwierania repozytoriów z nieznanych źródeł.
Inne podatności w Cursor
Zobacz wszystkie- CVE-2026-73218Wysokie
Cursor IDE dla macOS przed wersją 3.0.0 pozwala agentowi działającemu w trybie Auto-Run Sandbox, gdy zainstalowane są Docker Desktop i Dev Containers CLI, na uruchomienie uprzywilejowanego kontenera i zamontowanie virtiofs0 Docker, co daje odczyt i zapis do katalogu domowego użytkownika oraz umożliwia wykonywanie poleceń na hoście z uprawnieniami użytkownika bez dodatkowego monitu o zgodę.
- CVE-2026-73217Wysokie
Cursor IDE dla macOS przed wersją 3.1.2 pozwala agentowi działającemu w trybie Auto-Run Sandbox na zastąpienie pliku wykonywalnego Pythona w środowisku wirtualnym złośliwym wrapperem, który rozszerzenie Microsoft Python wywołuje poza sandboxem, umożliwiając wykonywanie dowolnych poleceń na hoście z uprawnieniami użytkownika, w tym modyfikację plików poza obszarem roboczym i uruchamianie aplikacji.
- CVE-2026-61613Wysokie
Podatność w edytorze Cursor przed 31.03.2026 umożliwiała atakującym kontrolowaną treść webową na połączenie z nieuwierzytelnionym lokalnym endpointem agenta w chmurze, co pozwalało na wykonanie kodu w piaskownicy agenta oraz dostęp do plików, repozytoriów, zmiennych środowiskowych, poświadczeń i tokenów GitHub App. Problem został naprawiony 31.03.2026 przez wymuszenie uwierzytelniania dla odpowiedniego endpointu.
Oryginalny opis (angielski, źródło NVD)
Cursor for Windows version 3.2.16 contains a binary planting vulnerability that allows remote attackers to achieve arbitrary code execution by placing a malicious git.exe file in the repository root directory. When a developer clones and opens a crafted repository, Cursor automatically resolves and executes the workspace-resident git.exe during IDE startup and on a recurring timed cadence without any user interaction, running the malicious binary under the privileges of the current user.