Co Cato znalazło w Cursorze

Cato AI Labs ujawniło dwie krytyczne podatności w Cursorze, edytorze kodu z AI, z którego według producenta korzysta ponad połowa firm z listy Fortune 500. Nazwane DuneSlide i oznaczone jako CVE-2026-50548 oraz CVE-2026-50549, obie mają wynik CVSS 9,8 na 10, czyli 9,3 w nowszej skali 4.0. Naprawiono je w Cursorze 3.0, wydanym 2 kwietnia 2026 roku, a każda wcześniejsza wersja jest podatna.

W chwili ujawnienia nie odnotowano aktywnego wykorzystania. Droga do poprawki nie była gładka. Cato zgłosiło problem 19 lutego, producent najpierw odrzucił zgłoszenie 23 lutego, potem otworzył sprawę ponownie, dostarczył pierwszą poprawkę 1 kwietnia, a drugą 1 czerwca. Numery CVE przydzielono 5 czerwca.

Jak strona internetowa staje się poleceniem

Techniką jest wstrzyknięcie instrukcji bez żadnego kliknięcia. Programista nigdy nie wpisuje złośliwego polecenia. To agent czyta treść w imieniu użytkownika: odpowiedź podłączonego serwera Model Context Protocol, stronę zwróconą przez wyszukiwarkę albo plik wewnątrz projektu. Ta treść niesie ukryte polecenia, za którymi model następnie podąża.

Pierwsza luka nadużywa parametru working_directory. Gdy agent ustawia go na ścieżkę inną niż domyślna, Cursor dopisuje ją do listy dozwolonego zapisu bez żadnej weryfikacji. Wstrzyknięta instrukcja może wtedy nadpisać plik systemowy, na przykład binarny plik pomocniczy piaskownicy albo profil powłoki. Druga luka wykorzystuje sprawdzanie dowiązań symbolicznych, które przy błędzie przepuszcza wszystko: gdy Cursor nie potrafi rozwiązać skrótu, ufa ścieżce wewnątrz projektu i pisze prosto do tego samego pliku pomocniczego. Po jego nadpisaniu kolejne polecenie działa poza piaskownicą z pełnymi prawami programisty.

Lista lektury jest teraz powierzchnią ataku

Niewygodne przesunięcie dotyczy tego, co liczy się jako dane wejściowe. Przez lata model zagrożeń edytora kodu obejmował kod, który sami pisaliśmy, i rozszerzenia, które sami instalowaliśmy. Autonomiczny agent rozszerza go na wszystko, co czyta z własnej inicjatywy: plik README zależności, odpowiedź narzędzia, pobraną stronę. Każde z nich jest dziś wykonywalną instrukcją, a promień rażenia to system operacyjny, a nie karta przeglądarki.

Dla firmy, która udostępniła asystentów kodowania swoim inżynierom, narzędzie staje się elementem łańcucha dostaw sięgającym aż do maszyny, a nie wtyczką do produktywności. W ramach NIS2 w UE, a także równoważnych obowiązków, które firmy brytyjskie już dźwigają, za bezpieczeństwo oprogramowania przekazywanego pracownikom odpowiada zarząd, a niezałatany agent, który ufa niesprawdzonej treści, mieści się dokładnie w tym obowiązku.

Co właściciele powinni zrobić w tym tygodniu

Natychmiastowym krokiem jest higiena wersji. Trzeba potwierdzić, że każdy programista pracuje na Cursorze 3.0 lub nowszym, bo nic wcześniejszego nie jest bezpieczne, i zadać to samo pytanie o każdy inny edytor z agentem czy asystenta IDE w użyciu. Warto ustalić, które narzędzia AI mają samodzielne uprawnienie do zapisu plików lub uruchamiania poleceń i kto to zatwierdził.

Krokiem trwałym jest traktowanie źródeł czytanych przez agenta jako domyślnie niezaufanych. Ogranicz, które serwery Model Context Protocol zespół może podłączać, trzymaj agentów z dala od niesprawdzonej treści zewnętrznej tam, gdzie to możliwe, i wymagaj zgody człowieka na zapisy poza projektem roboczym. Narzędzie warto zachować. Uprawnienia wokół niego wymagają teraz tej samej dyscypliny, którą stosuje się wobec każdego składnika mogącego dotknąć działającej maszyny.

Czytaj dalej: SI sama przeprowadziła cały atak ransomware  |  29-letni błąd Squida ujawnia loginy w postaci jawnej