CVE-2025-54133
Açıklama
Cursor, yapay zeka ile programlama için geliştirilmiş bir kod düzenleyicidir. 1.17 ile 1.2 sürümleri arasında, Cursor'ın MCP (Model Context Protocol) deeplink işleyicisinde bir kullanıcı arayüzü bilgi ifşası güvenlik açığı bulunmaktadır ve saldırganların sosyal mühendislik saldırıları yoluyla 2 tıklamayla rastgele sistem komutları çalıştırmasına olanak tanır. Kullanıcılar kötü amaçlı `cursor://anysphere.cursor-deeplink/mcp/install` bağlantılarına tıkladığında, yükleme iletişim kutusu çalıştırılan komuta aktarılan bağımsız değişkenleri göstermez. Bir kullanıcı kötü amaçlı bir deeplink'e tıklar, ardından yükleme iletişim kutusunu inceler ve onaylarsa, bağımsız değişkenler dahil tam komut makinede çalıştırılır. Bu sorun 1.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- anysphere cursor1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| anysphere cursor | 1.1.7 ≤ v < 1.3 | 1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.