CVE-2024-48919 in cursor
Resumen
por VulDB • 2026-05-15
Cursor es un editor de código diseñado para la programación con IA. Antes del 27 de septiembre de 2024, si un usuario generaba un comando de terminal mediante la función Terminal Cmd-K/Ctrl-K de Cursor y si el usuario importaba explícitamente una página web maliciosa en el indicador de Terminal Cmd-K, un atacante con control sobre la página web referenciada podría tener una probabilidad significativa de influir en un modelo de lenguaje para que generara comandos arbitrarios para su ejecución en la terminal del usuario. Este escenario requeriría que el usuario aceptara explícitamente incluir el contenido de una página web comprometida, y también requeriría que el atacante mostrara texto de inyección de indicaciones (prompt injection) en el contenido de la página web comprometida.
Se publicó un parche del lado del servidor para evitar el envío de caracteres de nueva línea o de control el 27 de septiembre de 2024, dentro de las dos horas siguientes a la notificación del problema. Además, Cursor 0.42 incluye mitigaciones del lado del cliente para evitar que cualquier carácter de nueva línea o de control se transmita directamente a la terminal. También contiene una nueva configuración, `"cursor.terminal.usePreviewBox"`, que, si se establece en true, transmite la respuesta a un cuadro de vista previa cuyo contenido debe ser aceptado manualmente antes de insertarse en la terminal. Esta configuración es útil si se trabaja en un entorno de shell donde los comandos pueden ejecutarse sin presionar Enter o cualquier carácter de control. El parche se ha aplicado del lado del servidor, por lo que no se requiere ninguna acción adicional, incluso en versiones anteriores de Cursor. Por separado, los mantenedores de Cursor también recomiendan, como mejor práctica, incluir únicamente fragmentos de contexto de confianza en las indicaciones.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.