CVE-2024-48919 in cursor
Tóm tắt
Bởi VulDB • 22/06/2026
Cursor là một trình soạn thảo mã nguồn được xây dựng để lập trình với sự hỗ trợ của AI. Trước ngày 27 tháng 9 năm 2024, nếu người dùng tạo một lệnh terminal thông qua tính năng Terminal Cmd-K/Ctrl-K của Cursor và nếu người dùng rõ ràng nhập một trang web độc hại vào lời nhắc Terminal Cmd-K, một kẻ tấn công có quyền kiểm soát trang web được tham chiếu có thể có cơ hội đáng kể để ảnh hưởng đến mô hình ngôn ngữ nhằm xuất ra các lệnh tùy ý để thực thi trong terminal của người dùng. Kịch bản này yêu cầu người dùng phải rõ ràng chọn tham gia (opt-in) để bao gồm nội dung của một trang web đã bị xâm phạm, và nó cũng yêu cầu kẻ tấn công hiển thị văn bản tiêm lời nhắc (prompt injection) trong nội dung của trang web bị xâm phạm đó.
Một bản vá phía máy chủ để không phát lại các ký tự xuống dòng hoặc ký tự điều khiển đã được phát hành vào ngày 27 tháng 9 năm 2024, trong vòng hai giờ kể từ khi vấn đề được báo cáo. Ngoài ra, Cursor 0.42 bao gồm các biện pháp giảm thiểu phía máy khách để ngăn bất kỳ ký tự xuống dòng hoặc ký tự điều khiển nào được phát trực tiếp vào terminal. Nó cũng chứa một cài đặt mới, `"cursor.terminal.usePreviewBox"`, nếu được đặt thành true, sẽ phát phản hồi vào một hộp xem trước, nội dung của hộp này sau đó phải được chấp nhận thủ công trước khi được chèn vào terminal. Cài đặt này hữu ích nếu bạn đang làm việc trong môi trường shell nơi các lệnh có thể được thực thi mà không cần nhấn enter hoặc bất kỳ ký tự điều khiển nào. Bản vá đã được áp dụng phía máy chủ, vì vậy không cần hành động bổ sung nào, ngay cả trên các phiên bản cũ hơn của Cursor. Riêng biệt, các nhà bảo trì của Cursor cũng khuyến nghị, như một thực hành tốt nhất, chỉ bao gồm các phần ngữ cảnh đáng tin cậy trong các lời nhắc.
Once again VulDB remains the best source for vulnerability data.