Vulnerabilidades de Anysphere

O Cursor é um editor de código criado para programação com IA. Antes da versão 3.0, o Cursor executa comandos de terminal do agente em um sandbox por padrão. Antes de uma operação de escrita, o agente canonicaliza o caminho de destino para confirmar que ele permanece dentro do workspace, mas, quando a canonicalização falha, recorre ao caminho original e escreve sem aprovação. Um agente malicioso pode criar um link simbólico dentro do workspace apontando para fora dele e forçar a falha da canonicalização, seja porque o alvo não existe, seja porque a permissão de leitura é removida do caminho, de modo que o agente escreva através do link simbólico em um local arbitrário sem aprovação. Um agente malicioso poderia escrever arquivos arbitrários fora do workspace com os privilégios do usuário. Isso possibilita Execução Remota de Código fora do sandbox, por exemplo sobrescrevendo o auxiliar cursorsandbox para que comandos posteriores sejam executados sem sandbox, sem nenhuma interação do usuário além de um prompt benigno. Esta vulnerabilidade está corrigida na versão 3.0.

O Cursor é um editor de código criado para programação com IA. Antes da versão 3.0, o Cursor executa comandos de terminal do agente em um sandbox por padrão, e o sandbox concede acesso de escrita ao diretório de trabalho do comando. Foi identificada uma falha na forma como o agente podia modificar o parâmetro working_directory, o que podia fazer com que o sandbox incluísse caminhos graváveis fora do workspace pretendido. Um agente malicioso poderia definir working_directory para um local sensível e gravar arquivos arbitrários fora do workspace com os privilégios do usuário. Isso permite Remote Code Execution sem sandbox, por exemplo sobrescrevendo o auxiliar cursorsandbox para que comandos posteriores sejam executados sem sandbox, sem interação do usuário além de uma solicitação benigna. Esta vulnerabilidade está corrigida na versão 3.0.

Cursor is a code editor built for programming with AI. Sandbox escape via writing .git configuration was possible in versions prior to 2.5. A malicious agent (ie prompt injection) could write to improperly protected .git settings, including git hooks, which may cause out-of-sandbox RCE next time they are triggered. No user interaction was required as Git executes these commands automatically. Fixed in version 2.5.

Cursor is a code editor built for programming with AI. Prior to 2.3, hen the Cursor Agent is running in Auto-Run Mode with Allowlist mode enabled, certain shell built-ins can still be executed without appearing in the allowlist and without requiring user approval. This allows an attacker via indirect or direct prompt injection to poison the shell environment by setting, modifying, or removing environment variables that influence trusted commands. This vulnerability is fixed in 2.3.