CVE-2024-48919 in cursor
要約
〜によって VulDB • 2026年06月20日
Cursorは、AIを活用したプログラミングのために構築されたコードエディタです。2024年9月27日より前、ユーザーがCursorのTerminal Cmd-K/Ctrl-K機能を通じてターミナルコマンドを生成し、かつユーザーが明示的に悪意のあるWebページをTerminal Cmd-Kのプロンプトにインポートした場合、参照先のWebページを制御する攻撃者は、言語モデルがターミナルで実行される任意のコマンドを出力するように影響を与える可能性がかなり高まりました。このシナリオでは、ユーザーが侵害されたWebページのコンテンツを含めることを明示的にオプトインする必要があり、さらに攻撃者が侵害されたWebページのコンテンツ内にプロンプトインジェクション用のテキストを表示する必要があります。
2024年9月27日、問題が報告されてから2時間以内に、改行文字や制御文字をストリーミングしないためのサーバーサイドのパッチがリリースされました。さらに、Cursor 0.42には、改行文字や制御文字がターミナルに直接ストリーミングされるのを防ぐためのクライアントサイドの緩和策が含まれています。また、`"cursor.terminal.usePreviewBox"`という新しい設定が含まれており、これをtrueに設定すると、レスポンスがプレビューボックスにストリーミングされ、そのコンテンツはターミナルに挿入される前に手動で承認する必要があります。この設定は、Enterキーを押すことや制御文字を入力せずにコマンドが実行される可能性があるシェル環境で作業する場合に有用です。パッチはサーバーサイドで適用されているため、Cursorの古いバージョンであっても、追加のアクションは必要ありません。別に、Cursorのメンテナーは、ベストプラクティスとして、プロンプトに信頼できるコンテキストのみを含めることを推奨しています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.