🖌Cursor AI: уязвимости и критические баги, раскрытые в ИИ-редакторе кода
Привет, айтишники! Недавно специалисты Check Point нашли несколько уязвимостей в популярном ИИ-редакторе кода Cursor AI, которые открывали огромные возможности для атакующих. Если ты разработчик или работаешь с подобными инструментами, эти баги тебя могут коснуться, потому что они позволяют внедрить произвольный код без ведома пользователя.
🧑💻 Основная угроза заключалась в уязвимости CVE-2025-54136, известной как MCPoison, которая позволяла атакующим скрытно изменять конфигурацию MCP-сервера, приводя к запуску вредоносного кода каждый раз при открытии проекта. После того как конфигурация была одобрена один раз, система больше не запрашивала подтверждения при её изменении. В результате, злоумышленники могли подменить безобидные команды на реверс-шелл.
🔔 Кроме того, в Cursor обнаружена ещё одна серьёзная уязвимость под названием CurXecute, которая позволяла злоумышленникам использовать косвенные инъекции промптов для изменения конфигурационных файлов и выполнения произвольного кода на удалённых системах. Это открывает возможности для атак через внешние серверы MCP, что создаёт новые угрозы в разработке.
👤 Что интересно, это только начало. Исследования продолжаются, и специалисты предупреждают о возможности ещё более опасных уязвимостей в этой области. В новой версии Cursor (1.3), были устранены все найденные проблемы, включая необходимость повторного подтверждения для всех изменений конфигурации.
P. S Безопасность в инструментах для разработчиков должна быть на первом месте, и, я считаю, такие уязвимости не стоит игнорировать.
🖌Cursor AI: уязвимости и критические баги, раскрытые в ИИ-редакторе кода
Привет, айтишники! Недавно специалисты Check Point нашли несколько уязвимостей в популярном ИИ-редакторе кода Cursor AI, которые открывали огромные возможности для атакующих. Если ты разработчик или работаешь с подобными инструментами, эти баги тебя могут коснуться, потому что они позволяют внедрить произвольный код без ведома пользователя.
🧑💻 Основная угроза заключалась в уязвимости CVE-2025-54136, известной как MCPoison, которая позволяла атакующим скрытно изменять конфигурацию MCP-сервера, приводя к запуску вредоносного кода каждый раз при открытии проекта. После того как конфигурация была одобрена один раз, система больше не запрашивала подтверждения при её изменении. В результате, злоумышленники могли подменить безобидные команды на реверс-шелл.
🔔 Кроме того, в Cursor обнаружена ещё одна серьёзная уязвимость под названием CurXecute, которая позволяла злоумышленникам использовать косвенные инъекции промптов для изменения конфигурационных файлов и выполнения произвольного кода на удалённых системах. Это открывает возможности для атак через внешние серверы MCP, что создаёт новые угрозы в разработке.
👤 Что интересно, это только начало. Исследования продолжаются, и специалисты предупреждают о возможности ещё более опасных уязвимостей в этой области. В новой версии Cursor (1.3), были устранены все найденные проблемы, включая необходимость повторного подтверждения для всех изменений конфигурации.
P. S Безопасность в инструментах для разработчиков должна быть на первом месте, и, я считаю, такие уязвимости не стоит игнорировать.
It’s yet another bloodbath on Satoshi Street. As of press time, Bitcoin (BTC) and the broader cryptocurrency market have corrected another 10 percent amid a massive sell-off. Ethereum (EHT) is down a staggering 15 percent moving close to $1,000, down more than 42 percent on the weekly chart. To delete a channel with over 1,000 subscribers, you need to contact user support So far, more than a dozen different members have contributed to the group, posting voice notes of themselves screaming, yelling, groaning, and wailing in various pitches and rhythms. Avoid compound hashtags that consist of several words. If you have a hashtag like #marketingnewsinusa, split it into smaller hashtags: “#marketing, #news, #usa. Matt Hussey, editorial director at NEAR Protocol also responded to this news with “#meIRL”. Just as you search “Bear Market Screaming” in Telegram, you will see a Pepe frog yelling as the group’s featured image.
from us
