PT-2025-25236 · Cursor · Cursor

Maccarita · Publicado 2025-06-11 · Atualizado 2025-06-11 · CVE-2025-49150

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Cursor anteriores a 0.51.0

Descrição A vulnerabilidade permite que um atacante dispare uma solicitação HTTP GET arbitrária sem confirmação do usuário ao escrever um arquivo JSON. Isso poderia potencialmente ser usado para exfiltrar dados caso um agente malicioso obtenha acesso, por exemplo, após um ataque de injeção de prompt bem-sucedido. A causa raiz é a configuração json.schemaDownload.enable estar definida como True por padrão antes da versão 0.51.0.

Recomendações Para versões anteriores a 0.51.0, atualize para a versão 0.51.0 para resolver o problema. Como solução temporária, considere definir a configuração json.schemaDownload.enable como False para impedir solicitações HTTP GET arbitrárias.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2025-49150

GHSA-9H3V-H59J-V6RJ

Produtos afetados

Cursor

Referências · 7

• https://github.com/getcursor/cursor/security/advisories/GHSA-9h3v-h59j-v6rj · Nota
• https://osv.dev/vulnerability/CVE-2025-49150 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-49150 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1932871321253282135 · Publicação no Twitter
• https://t.me/cvetracker/26050 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1932865852199576064 · Publicação no Twitter
• https://t.me/cvenotify/125423 · Publicação no Telegram