Обнаружены критические уязвимости в Cursor IDE: атака DuneSlide позволяет удалённое выполнение кода через внедрение подсказок

Обнаружены критические уязвимости в Cursor IDE: атака DuneSlide позволяет удалённое выполнение кода через внедрение подсказок. Фото: из архива компании

Обе проблемы, получившие общее название DuneSlide и идентификаторы CVE-2026-50548 и CVE-2026-50549, имеют оценку 9,8 по шкале CVSS и позволяют злоумышленнику перезаписывать системные файлы, выходить за пределы терминальной песочницы и полностью компрометировать хост-машину, причём для эксплуатации не требуется действий со стороны пользователя — достаточно безобидного на первый взгляд запроса, который заставит агента загрузить вредоносный код из ненадёжного источника.

Первая уязвимость связана с тем, что песочница Cursor формирует границы безопасности на основе необязательного параметра working_directory инструмента run_terminal_cmd, и внедрённая подсказка может заставить LLM установить этот путь за пределами проекта, добавив его в список разрешённых для записи, что позволяет перезаписать исполняемый файл cursorsandbox или критичные файлы конфигурации оболочки.

Вторая уязвимость заключается в сбое канонизации символических ссылок: если разрешение пути не удаётся, Cursor использует исходный путь символической ссылки внутри проекта, и злоумышленник может создать ссылку на внешний файл, после чего через инструмент записи перезаписать cursorsandbox и нейтрализовать песочницу для последующих команд.

Команда Cursor была уведомлена о проблемах ещё 19 февраля, но первоначально отклонила сообщения, заявив, что их модель угроз не учитывает неправомерное использование даже безобидных MCP-серверов, однако после эскалации в группу безопасности рассмотрение было возобновлено, и исправления вошли в клиент Cursor 3.0, выпущенный 2 апреля.

В Cato AI Labs подчёркивают, что эти инциденты не являются единичными — лаборатория ведёт ответственное раскрытие уязвимостей во всех популярных агентах программирования, что указывает на необходимость системного подхода к безопасности, а не только изолированных исправлений в конкретных продуктах.

Основной вывод заключается в том, что предоставление LLM-системам автономных сред выполнения команд создаёт архитектурные риски, когда классические логические ошибки в проверке параметров и разрешении путей становятся критическими векторами атак, и сообществу разработчиков следует пересмотреть подходы к безопасности агентных инструментов на уровне архитектуры.