PT-2025-31883 · Cursor · Cursor

Maccarita · Publicado 2025-08-05 · Atualizado 2025-08-10 · CVE-2025-54130

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Cursor anteriores à 1.3.9

Descrição O Cursor, um editor de código desenvolvido para programação com IA, permite a escrita em arquivos do workspace sem aprovação do usuário nas versões afetadas. Especificamente, criar novos dotfiles não requer aprovação, enquanto editar os existentes requer. Isso permite que um atacante encadeie uma vulnerabilidade de injeção de prompt indireta para sequestrar o contexto e escrever em arquivos sensíveis do editor, como o arquivo .vscode/settings.json, potencialmente desencadeando Execução Remota de Código (RCE) na máquina da vítima sem aprovação do usuário.

Recomendações Atualize para a versão 1.3.9 ou posterior.

Exploit

Correção

RCE

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2025-54130

GHSA-VQV7-VQ92-X87F

Produtos afetados

Cursor

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54130.json · Exploit
• https://github.com/cursor/cursor/security/advisories/GHSA-vqv7-vq92-x87f · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-54130 · Nota de Segurança
• https://twitter.com/CVEnew/status/1952539706102890948 · Publicação no Twitter
• https://t.me/cveNotify/130863 · Publicação no Telegram
• https://t.me/CVEtracker/29148 · Publicação no Telegram
• https://twitter.com/cracbot/status/1954498000023159258 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-54130 · Aviso do Fabricante