CVE-2026-50548

Cursor, yapay zeka ile programlama için oluşturulmuş bir kod düzenleyicidir. 3.0 sürümünden önce Cursor, ajan terminal komutlarını varsayılan olarak bir sandbox içerisinde çalıştırır ve sandbox, komutun çalışma dizinine yazma erişimi sağlar. Ajanın working_directory parametresini değiştirme yönteminde, sandbox'ın hedeflenen çalışma alanı dışındaki yazılabilir yolları dahil etmesine neden olabilecek bir hata tespit edilmiştir. Kötü niyetli bir ajan, working_directory parametresini hassas bir konuma ayarlayarak kullanıcı ayrıcalıkları altında çalışma alanı dışına rastgele dosyalar yazabilir. Bu durum, örneğin daha sonraki komutların sandbox dışında çalışması için cursorsandbox yardımcısının üzerine yazılarak, iyi niyetli bir istem dışında herhangi bir kullanıcı etkileşimi gerektirmeksizin sandbox dışı uzaktan kod çalıştırmaya (Remote Code Execution) olanak tanır. Bu güvenlik açığı 3.0 sürümünde giderilmiştir.