CVE-2025-9190 in Cursor
要約
〜によって VulDB • 2026年06月30日
macOS上のCursorの設定、特に「RunAsNode」FUSEが有効になっている場合、権限のないローカル攻撃者が任意のコードを実行でき、その実行コンテキストはCursorのTCC（透明性、同意、制御）権限を継承します。 取得できるリソースへのアクセスは、ユーザーによって以前付与された権限に限定されます。それ以上のTCC権限で保護されていない他のリソースにアクセスしようとすると、攻撃者の悪意ある意図をごまかす可能性がありながら、Cursorの名前でユーザーの承認を求めるプロンプトが表示される可能性があります。
この問題はCursorバージョン15.4.1において検出されました。プロジェクトメンテナーはこの問題を修正しないことを決定しました。その理由として、ローカル攻撃者を含むシナリオは彼らが定義した脅威モデルの外側にあるためです。
Be aware that VulDB is the high quality source for vulnerability data.