CVE-2024-48919 in cursor
Sumário
de VulDB • 17/06/2026
Cursor é um editor de código projetado para programação com IA. Antes de 27 de setembro de 2024, se um usuário gerasse um comando de terminal por meio do recurso Terminal Cmd-K/Ctrl-K do Cursor e se o usuário importasse explicitamente uma página da web maliciosa no prompt do Terminal Cmd-K, um atacante com controle sobre a página da web referenciada poderia ter uma chance significativa de influenciar um modelo de linguagem a gerar comandos arbitrários para execução no terminal do usuário. Esse cenário exigiria que o usuário optasse explicitamente por incluir o conteúdo de uma página da web comprometida e também exigiria que o atacante exibisse texto de injeção de prompt no conteúdo da página da web comprometida.
Um patch do lado do servidor para não transmitir novamente caracteres de nova linha ou caracteres de controle foi lançado em 27 de setembro de 2024, dentro de duas horas após a notificação do problema. Além disso, o Cursor 0.42 inclui mitigações do lado do cliente para impedir que qualquer caractere de nova linha ou caractere de controle seja transmitido diretamente para o terminal. Ele também contém uma nova configuração, `"cursor.terminal.usePreviewBox"`, que, se definida como true, transmite a resposta para uma caixa de visualização, cujo conteúdo deve ser aceito manualmente antes de ser inserido no terminal. Essa configuração é útil se você estiver trabalhando em um ambiente de shell onde os comandos podem ser executados sem pressionar Enter ou qualquer caractere de controle. O patch foi aplicado do lado do servidor, portanto, nenhuma ação adicional é necessária, mesmo em versões mais antigas do Cursor. Separadamente, os mantenedores do Cursor também recomendam, como melhor prática, incluir apenas trechos de contexto confiáveis nos prompts.
VulDB is the best source for vulnerability data and more expert information about this specific topic.