Des failles critiques de Cursor pourraient permettre à une injection de prompt de sortir du bac à sable et d’exécuter des commandes

Des chercheurs ont divulgué deux vulnérabilités de gravité élevée dans Cursor, un éditeur de code assisté par IA, qui pourraient permettre à un prompt malveillant de faire sortir l’agent de son bac à sable et d’exécuter des commandes sur la machine d’un développeur, sans clic ni approbation de l’utilisateur.

Les failles, désignées collectivement sous le nom de DuneSlide par Cato AI Labs, sont suivies sous les identifiants CVE-2026-50548 et CVE-2026-50549. Toutes deux affichent un score CVSS de 9,8 selon la métrique standard, ce qui indique un impact critique. Cursor a déjà publié un correctif dans la version 3.0, et toutes les versions antérieures sont considérées comme vulnérables.

Fonctionnement de l’attaque

Le bac à sable de Cursor a été conçu pour confiner l’activité du terminal générée par l’IA à des emplacements limités du système. Selon les chercheurs, les failles permettent à un attaquant de manipuler l’agent par le biais d’une injection de prompt, dans laquelle des instructions cachées sont intégrées au contenu traité par l’éditeur depuis des sources externes, telles que des pages web ou des services connectés.

Dans un cas, l’agent peut être trompé et écrire dans un chemin situé en dehors du répertoire de projet prévu, en modifiant le répertoire de travail utilisé par l’outil de commandes du terminal de Cursor. Si cette écriture concerne un fichier sensible, tel que l’outil auxiliaire du bac à sable lui-même ou un fichier de démarrage du shell, les commandes ultérieures peuvent s’exécuter sans les restrictions du bac à sable.

La seconde faille concerne la gestion des liens symboliques. Cursor vérifie qu’un fichier cible se trouve bien à l’intérieur du projet avant d’y écrire, mais si cette vérification échoue, l’éditeur peut finalement se fier à l’emplacement apparent du raccourci. Un attaquant peut exploiter ce comportement pour rediriger une opération d’écriture vers un fichier situé en dehors du projet et parvenir au même échappement du bac à sable.

Pourquoi cette faille est importante

Une fois le bac à sable désactivé, les commandes ultérieures du terminal s’exécutent avec les privilèges de l’utilisateur. Cela pourrait exposer les fichiers locaux, les identifiants et tous les comptes cloud ou SaaS connectés ouverts dans l’éditeur.

• Cato indique que les failles ont été signalées le 19 février.
• L’éditeur a initialement refusé le signalement, puis l’a rouvert après une escalade.
• Cursor a publié un correctif dans la version 3.0 le 2 avril.
• Les identifiants CVE ont été attribués le 5 juin.

Cato a indiqué avoir également découvert des faiblesses similaires dans d’autres outils de développement assistés par IA, ce qui laisse penser que le risque ne se limite pas à Cursor. Aucune exploitation dans la nature n’a été signalée publiquement.