CVE-2024-48919

Cursor, yapay zeka ile programlama için oluşturulmuş bir kod düzenleyicidir. 27 Eylül 2024 tarihinden önce, eğer bir kullanıcı Cursor'ın Terminal Cmd-K/Ctrl-K özelliği aracılığıyla bir terminal komutu oluşturursa ve kullanıcı açıkça kötü amaçlı bir web sayfasını Terminal Cmd-K istemine aktarırsa, referans verilen web sayfası üzerinde kontrol sahibi olan bir saldırganın, dil modelini kullanıcının terminalinde yürütülmek üzere rastgele komutlar çıktı vermesi için etkileme şansı yüksek olabilirdi. Bu senaryo, kullanıcının ele geçirilmiş bir web sayfasının içeriğini dahil etmeyi açıkça kabul etmesini ve saldırganın ele geçirilmiş web sayfasının içeriğinde istem enjeksiyonu (prompt injection) metni görüntülemesini gerektiriyordu. Yeni satırların veya kontrol karakterlerinin geri akıtılmasını engelleyen sunucu tarafı yaması, sorunun bildirilmesinden iki saat sonra, 27 Eylül 2024 tarihinde yayınlanmıştır. Ek olarak, Cursor 0.42, herhangi bir yeni satır veya kontrol karakterinin doğrudan terminale akıtılmasını önlemek için istemci tarafı hafifletmeler içerir. Ayrıca, doğruya ayarlandığında yanıtı bir ön izleme kutusuna akıtan ve içeriğin terminale eklenmeden önce manuel olarak kabul edilmesi gereken `"cursor.terminal.usePreviewBox"` adlı yeni bir ayar içerir. Bu ayar, komutların enter tuşuna veya herhangi bir kontrol karakterine basmadan yürütülebildiği bir kabuk ortamında çalışıyorsanız faydalıdır. Yama sunucu tarafına uygulandığı için Cursor'ın eski sürümlerinde bile ek bir işlem gerekmemektedir. Ayrı olarak, Cursor yöneticileri en iyi uygulama olarak, istemlere yalnızca güvenilir bağlam parçalarının dahil edilmesini önermektedir.