CVE-2024-48919

Cursor, süni intellektlə proqramlaşdırma üçün hazırlanmış kod redaktorudur. 27 sentyabr 2024-cü il tarixinədək, əgər istifadəçi Cursor-un Terminal Cmd-K/Ctrl-K funksiyası vasitəsilə terminal əmrini generasiya etdisə və istifadəçi Terminal Cmd-K sorğusuna (prompt) zərərli veb səhifəni açıq şəkildə import etdisə, həmin veb səhifə üzərində nəzarətə malik olan hücumçu dil modelinə təsir göstərərək istifadəçinin terminalında icra olunacaq ixtiyari əmrlərin çıxarılmasını təmin edə bilərdi. Bu ssenari istifadəçinin kompromisə uğramış veb səhifənin məzmununu daxil etməyi açıq şəkildə seçməsini və hücumçunun kompromisə uğramış veb səhifənin məzmununda prompt injection mətni yerləşdirməsini tələb edirdi. Yeni sətir simvollarının və ya idarəetmə simvollarının geri axınını (stream) dayandıran server tərəfli yamaq, problemin bildirilməsindən sonra iki saat ərzində, 27 sentyabr 2024-cü ildə buraxılmışdır. Əlavə olaraq, Cursor 0.42 versiyası hər hansı yeni sətir və ya idarəetmə simvolunun birbaşa terminala ötürülməsinin qarşısını alan klient tərəfli tədbirləri ehtiva edir. O, həmçinin yeni `"cursor.terminal.usePreviewBox"` parametrinə malikdir ki, bu parametr "true" olaraq təyin edildikdə, cavab önizləmə qutusuna ötürülür və məzmun terminala daxil edilməzdən əvvəl əllə təsdiqlənməlidir. Bu parametr, əmrlərin "enter" düyməsini və ya hər hansı idarəetmə simvolunu sıxmadan icra oluna bildiyi shell mühitlərində işlədikdə faydalıdır. Yamaq server tərəfində tətbiq edilib, buna görə də Cursor-un köhnə versiyalarında belə heç bir əlavə tədbir tələb olunmur. Bundan əlavə, Cursor-un texniki dəstək mütəxəssisləri ən yaxşı təcrübə kimi sorğulara yalnız etibarlı kontekst hissələrinin daxil edilməsini tövsiyə edirlər.