Bug critici di Cursor potrebbero consentire a un’iniezione di prompt di evadere dal sandbox ed eseguire comandi

I ricercatori hanno divulgato due vulnerabilità ad alta gravità in Cursor, un editor di codice assistito dall’IA, che potrebbero consentire a un prompt malevolo di far uscire l’agente dal sandbox ed eseguire comandi sul computer di uno sviluppatore senza alcun clic o approvazione da parte dell’utente.

I problemi, denominati collettivamente DuneSlide da Cato AI Labs, sono tracciati come CVE-2026-50548 e CVE-2026-50549. Entrambi hanno ottenuto un punteggio CVSS di 9.8 secondo la metrica standard, indicando un impatto critico. Cursor ha già rilasciato una correzione nella versione 3.0 e tutte le versioni precedenti sono considerate interessate.

Come funziona l’attacco

Il sandbox di Cursor è stato introdotto per mantenere l’attività del terminale generata dall’IA confinata in posizioni limitate del sistema. Secondo i ricercatori, le falle consentono a un aggressore di manipolare l’agente tramite un’iniezione di prompt, inserendo istruzioni nascoste nei contenuti che l’editor elabora da fonti esterne, come pagine web o servizi connessi.

In un caso, l’agente può essere indotto a scrivere in un percorso esterno alla directory del progetto prevista modificando la directory di lavoro utilizzata dallo strumento di Cursor per i comandi del terminale. Se la scrittura interessa un file sensibile, come il componente di supporto del sandbox o un file di avvio della shell, i comandi successivi potrebbero essere eseguiti senza le restrizioni del sandbox.

Il secondo problema riguarda la gestione dei collegamenti simbolici. Cursor verifica che un file di destinazione si trovi effettivamente all’interno del progetto prima di scrivervi, ma se tale verifica fallisce, l’editor potrebbe fidarsi della posizione apparente del collegamento. Un aggressore può sfruttare questo comportamento per reindirizzare un’operazione di scrittura verso un file esterno al progetto e ottenere la stessa evasione dal sandbox.

Perché è importante

Una volta disabilitato il sandbox, i comandi successivi del terminale vengono eseguiti con i privilegi dell’utente. Ciò potrebbe esporre file locali, credenziali e qualsiasi account cloud o SaaS connesso e aperto nell’editor.

• Cato afferma che i problemi sono stati segnalati il 19 febbraio.
• Il fornitore inizialmente ha respinto la segnalazione, per poi riaprirla dopo un’escalation.
• Cursor ha rilasciato una correzione nella versione 3.0 il 2 aprile.
• Gli identificativi CVE sono stati assegnati il 5 giugno.

Cato ha osservato di aver trovato debolezze simili anche in altri strumenti di programmazione basati sull’IA, suggerendo che il rischio non sia limitato esclusivamente a Cursor. Non sono stati segnalati pubblicamente sfruttamenti nel mondo reale.