PT-2025-31702 · Cursor · Cursor
Chaandrey
·
Publicado
2025-07-29
·
Atualizado
2026-06-16
·
CVE-2025-54136
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do Cursor 1.2.4 e anteriores
Descrição
O Cursor é um editor de código projetado para programação assistida por IA. Uma falha, denominada MCPoison (CVE-2025-54136), permite que invasores obtenham execução de código remota e persistente. Isso é realizado mediante a modificação de um arquivo de configuração MCP (Model Context Protocol) confiável dentro de um repositório GitHub compartilhado ou diretamente na máquina alvo. Após um usuário aprovar um MCP inofensivo, um invasor pode substituí-lo silenciosamente por um comando malicioso, como
calc.exe, sem nenhum aviso ou solicitação. Caso um invasor obtenha acesso de gravação aos branches ativos de um usuário em um repositório de origem contendo servidores MCP existentes, ou obtenha acesso de gravação de arquivo arbitrário localmente, ele poderá executar código arbitrário. O problema decorre de uma confiança cega nos servidores MCP e da falta de medidas básicas de segurança. A vulnerabilidade permite um comprometimento silencioso através da modificação de um arquivo de configuração anteriormente confiável.Recomendações
Atualize para a versão 1.3 ou posterior para corrigir esta vulnerabilidade.
Exploit
Correção
RCE
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cursor