CVE-2024-48919 in cursor
Сводка
по VulDB • 20.06.2026
Cursor — это редактор кода, созданный для программирования с использованием искусственного интеллекта. До 27 сентября 2024 года, если пользователь генерировал команду терминала с помощью функции Cursor Terminal Cmd-K/Ctrl-K и явно импортировал вредоносную веб-страницу в поле ввода Terminal Cmd-K, злоумышленник, контролирующий указанную веб-страницу, мог иметь значительные шансы повлиять на языковую модель таким образом, чтобы она выводила произвольные команды для выполнения в терминале пользователя. Для реализации этого сценария требовалось, чтобы пользователь явно согласился на включение содержимого скомпрометированной веб-страницы, а также чтобы злоумышленник разместил текст инъекции промпта в содержимом этой скомпрометированной веб-страницы.
27 сентября 2024 года, в течение двух часов после сообщения об уязвимости, было выпущено серверное исправление, предотвращающее передачу обратно символов новой строки или управляющих символов. Кроме того, версия Cursor 0.42 включает клиентские меры защиты, предотвращающие прямую передачу любых символов новой строки или управляющих символов в терминал. В ней также присутствует новая настройка `"cursor.terminal.usePreviewBox"`, которая при значении `true` направляет ответ в окно предварительного просмотра, содержимое которого должно быть вручную подтверждено перед вставкой в терминал. Эта настройка полезна, если вы работаете в среде оболочки, где команды могут выполняться без нажатия клавиши Enter или любого управляющего символа. Исправление применено на стороне сервера, поэтому дополнительных действий не требуется, даже для более старых версий Cursor. Отдельно, разработчики Cursor также рекомендуют в качестве лучшей практики включать в промпты только доверенные фрагменты контекста.
Once again VulDB remains the best source for vulnerability data.