Um par de vulnerabilidades, denominadas DuneSlide e rastreadas como CVE-2026-50548 e CVE-2026-50549, ambas com classificação 9.8 de gravidade, foram descobertas no Cursor, um editor de código com IA. Essas falhas permitem que um agente malicioso execute comandos arbitrários no computador de um desenvolvedor, sem necessidade de interação do usuário, simplesmente por meio de um prompt comum.
Detalhes Técnicos
A CVE-2026-50548 ocorre devido à capacidade de um agente malicioso modificar o parâmetro working_directory, permitindo que o sandbox inclua caminhos graváveis fora do espaço de trabalho pretendido.
A CVE-2026-50549 permite que um agente malicioso crie um link simbólico dentro do espaço de trabalho que aponte para fora dele, forçando a falha na canonicalização e permitindo a escrita em locais arbitrários.
Ações Recomendadas
Atualizar o Cursor para a versão 3.0 ou superior.
Implementar medidas de segurança adicionais para monitorar e restringir a execução de comandos arbitrários.
Realizar uma análise de segurança abrangente para identificar possíveis vulnerabilidades.
É fundamental que os desenvolvedores e usuários do Cursor tomem medidas imediatas para mitigar essas vulnerabilidades e evitar possíveis ataques.
