CVE-2024-48919 in cursor
Résumé
par VulDB • 20/06/2026
Cursor est un éditeur de code conçu pour la programmation assistée par l'IA. Avant le 27 septembre 2024, si un utilisateur générait une commande de terminal via la fonctionnalité Terminal Cmd-K/Ctrl-K de Cursor et si l'utilisateur importait explicitement une page web malveillante dans l'invite de commande Terminal Cmd-K, un attaquant ayant le contrôle de la page web référencée aurait une probabilité significative d'influencer un modèle de langage afin qu'il produise des commandes arbitraires à exécuter dans le terminal de l'utilisateur. Ce scénario nécessiterait que l'utilisateur accepte explicitement d'inclure le contenu d'une page web compromise, et il exigerait que l'attaquant affiche du texte d'injection de prompt dans le contenu de la page web compromise.
Une correction côté serveur, visant à ne pas renvoyer les sauts de ligne ou les caractères de contrôle, a été publiée le 27 septembre 2024, dans les deux heures suivant le signalement du problème. De plus, Cursor 0.42 inclut des atténuations côté client pour empêcher tout saut de ligne ou caractère de contrôle d'être diffusé directement dans le terminal. Il contient également un nouveau paramètre, `"cursor.terminal.usePreviewBox"`, qui, s'il est défini sur true, diffuse la réponse dans une zone de prévisualisation dont le contenu doit ensuite être accepté manuellement avant d'être inséré dans le terminal. Ce paramètre est utile si vous travaillez dans un environnement de shell où des commandes peuvent être exécutées sans appuyer sur Entrée ou sur aucun caractère de contrôle. Le correctif a été appliqué côté serveur, aucune action supplémentaire n'est donc nécessaire, même sur les anciennes versions de Cursor. Par ailleurs, les mainteneurs de Cursor recommandent également, en tant que bonne pratique, de n'inclure que des éléments de contexte de confiance dans les invites.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.