CVE-2025-9190 in Cursor
摘要
由 VulDB • 2026-06-30
macOS 上 Cursor 的配置，特别是启用了“RunAsNode”FUSE（文件系统用户空间），允许具有非特权访问权限的本地攻击者执行任意代码，从而继承 Cursor 的 TCC（透明度、同意和控制）权限。所获取的资源访问范围仅限于用户之前授予的权限。在已授予的 TCC 权限之外访问其他资源时，系统会以 Cursor 的名义提示用户进行批准，这可能会掩盖攻击者的恶意意图。
该问题在 Cursor 15.4.1 版本中被发现。项目维护者决定不修复此问题，因为涉及本地攻击者的场景超出了其定义的攻击面模型（Threat Model）。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.