CVE-2025-54135

augusztus 5. 13:19

Cursor IDE sérülékenysége
Angol cím: Cursor IDE vulnerability

Publikálás dátuma: 2025.08.04.
Utolsó módosítás dátuma: 2025.08.04.

Leírás

A program nem, vagy helytelenül semlegesíti azokat az elemeket a bemenetből, melyek módosíthatják a tervezett operációs rendszer parancsot, amikor azt a következő komponensnek küldi.

Leírás forrása: CWE-78

Elemzés leírás

Eredeti nyelven:

Cursor is a code editor built for programming with AI. Cursor allows writing in-workspace files with no user approval in versions below 1.3.9, If the file is a dotfile, editing it requires approval but creating a new one doesn’t. Hence, if sensitive MCP files, such as the .cursor/mcp[.]json file don’t already exist in the workspace, an attacker can chain a indirect prompt injection vulnerability to hijack the context to write to the settings file and trigger RCE on the victim without user approval. This is fixed in version 1.3.9.

Elemzés leírás forrása: CVE-2025-54135

Hatás

CVSS3.1 Súlyosság és Metrika

Base score: 8.5 (Magas)
Vector: AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
Impact Score: 6.0
Exploitability Score: 1.8

Attack Vector (AV): Network
Attack Complexity (AC): High
Privileges Required (PR): Low
User Interaction (UI): None
Scope (S): Changed
Confidentiality Impact (C): High
Integrity Impact (I): High
Availability Impact (A): High