Kritische Cursor-Fehler könnten durch Prompt-Injection aus der Sandbox ausbrechen und Befehle ausführen

Forscher haben zwei schwerwiegende Schwachstellen in Cursor, einem KI-gestützten Code-Editor, offengelegt. Sie könnten es einem bösartigen Prompt ermöglichen, den Agenten aus seiner Sandbox zu schleusen und Befehle auf dem Rechner eines Entwicklers auszuführen, ohne dass der Benutzer klicken oder eine Zustimmung erteilen muss.

Die von Cato AI Labs gemeinsam als DuneSlide bezeichneten Probleme werden als CVE-2026-50548 und CVE-2026-50549 geführt. Beide weisen nach der Standardmetrik einen CVSS-Score von 9,8 auf, was auf kritische Auswirkungen hindeutet. Cursor hat bereits in Version 3.0 einen Fix veröffentlicht; alle früheren Versionen gelten als betroffen.

So funktioniert der Angriff

Die Sandbox von Cursor wurde eingeführt, um die von der KI generierten Terminalaktivitäten auf bestimmte Bereiche des Systems zu beschränken. Den Forschern zufolge ermöglichen die Fehler einem Angreifer, den Agenten durch Prompt-Injection zu manipulieren. Dabei werden versteckte Anweisungen in Inhalte eingebettet, die der Editor aus externen Quellen wie Webseiten oder verbundenen Diensten verarbeitet.

In einem Fall kann der Agent dazu gebracht werden, in einen Pfad außerhalb des vorgesehenen Projektverzeichnisses zu schreiben, indem das von Cursors Terminal-Befehlstool verwendete Arbeitsverzeichnis geändert wird. Wenn dieser Schreibvorgang eine sensible Datei betrifft, etwa die Sandbox-Hilfsdatei selbst oder eine Shell-Startdatei, können spätere Befehle ohne Sandbox-Beschränkungen ausgeführt werden.

Das zweite Problem betrifft die Verarbeitung symbolischer Links. Cursor prüft vor dem Schreiben, ob sich eine Zieldatei tatsächlich innerhalb des Projekts befindet. Schlägt diese Überprüfung jedoch fehl, vertraut der Editor möglicherweise stattdessen auf den scheinbaren Speicherort der Verknüpfung. Ein Angreifer kann dieses Verhalten ausnutzen, um einen Schreibvorgang auf eine Datei außerhalb des Projekts umzuleiten und auf diese Weise ebenfalls aus der Sandbox auszubrechen.

Warum das wichtig ist

Sobald die Sandbox deaktiviert ist, werden nachfolgende Terminalbefehle mit den Berechtigungen des Benutzers ausgeführt. Dadurch könnten lokale Dateien, Zugangsdaten sowie alle verbundenen Cloud- oder SaaS-Konten offengelegt werden, die im Editor geöffnet sind.

• Cato zufolge wurden die Probleme am 19. Februar gemeldet.
• Der Anbieter lehnte die Meldung zunächst ab, nahm sie nach einer Eskalation jedoch wieder auf.
• Cursor veröffentlichte am 2. April in Version 3.0 einen Fix.
• Die CVE-Kennungen wurden am 5. Juni vergeben.

Cato wies darauf hin, dass das Unternehmen auch ähnliche Schwachstellen in anderen KI-Codierungstools gefunden hat. Dies deutet darauf hin, dass das Risiko nicht auf Cursor beschränkt ist. Eine Ausnutzung in freier Wildbahn wurde bislang nicht öffentlich gemeldet.