Vad Cato fann i Cursor

Cato AI Labs har offentliggjort två kritiska sårbarheter i Cursor, den AI-kodeditor som tillverkaren säger används av mer än hälften av Fortune 500. De heter DuneSlide och är registrerade som CVE-2026-50548 och CVE-2026-50549, båda med ett CVSS-värde på 9,8 av 10, eller 9,3 på den nyare skalan 4.0. De är rättade i Cursor 3.0, som kom ut den 2 april 2026, och alla äldre versioner är drabbade.

Inget aktivt utnyttjande hade registrerats vid offentliggörandet. Vägen till en rättning var inte spikrak. Cato anmälde problemet den 19 februari, tillverkaren avvisade det först den 23 februari, öppnade sedan ärendet igen, levererade en första rättning den 1 april och den andra den 1 juni. CVE-numren tilldelades den 5 juni.

Hur en webbsida blir ett kommando

Tekniken är promptinjektion utan ett enda klick. Utvecklaren skriver aldrig en skadlig order. Det är agenten som läser innehåll å användarens vägnar: svaret från en ansluten Model Context Protocol-server, en sida från en webbsökning eller en fil inne i projektet. Det innehållet bär dolda order som modellen sedan följer.

Den första bristen missbrukar parametern working_directory. När agenten sätter den till en sökväg utanför standarden lägger Cursor till sökvägen i listan över tillåten skrivning utan att kontrollera den. En injicerad instruktion kan därmed skriva över en systemfil, till exempel sandbox-hjälparens binär eller en shell-profil. Den andra bristen utnyttjar en symlänkskontroll som ger vika vid fel: kan Cursor inte lösa upp en genväg litar den på sökvägen inne i projektet och skriver rakt igenom till samma hjälpare. När hjälparen väl är överskriven körs nästa kommando utanför sandboxen med utvecklarens fulla rättigheter.

Läslistan är nu angreppsytan

Den obekväma förskjutningen gäller vad som räknas som indata. I åratal bestod hotbilden för en kodeditor av den kod man själv skrev och de tillägg man installerade. En autonom agent vidgar det till allt den läser på egen hand: ett beroendes README, svaret från ett verktyg, en hämtad sida. Var och en av dem är nu en körbar instruktion, och verkningsradien är operativsystemet snarare än en webbläsarflik.

För ett företag som rullat ut AI-kodassistenter till sina ingenjörer blir verktyget en länk i leveranskedjan med räckvidd ända in i maskinen, inte ett produktivitetstillägg. Under NIS2 i EU, och under de motsvarande skyldigheter som brittiska företag redan bär, är säkerheten i den mjukvara du ger personalen styrelsens ansvar, och en ouppdaterad agent som litar på okontrollerat innehåll faller rakt in under den plikten.

Vad ägare bör göra denna vecka

Det omedelbara steget är versionshygien. Bekräfta att varje utvecklare kör Cursor 3.0 eller senare, för inget dessförinnan är säkert, och ställ samma fråga om varje annan agent-editor eller IDE-assistent som används. Klargör vilka AI-verktyg som självständigt får skriva filer eller köra kommandon, och vem som godkände det.

Det varaktiga steget är att behandla en agents läskällor som opålitliga som standard. Begränsa vilka Model Context Protocol-servrar ett team får ansluta, håll agenterna borta från ogranskat externt innehåll där du kan, och kräv mänskligt godkännande för skrivningar utanför arbetsprojektet. Verktyget är värt att behålla. Rättigheterna runt det kräver nu samma disciplin som du redan tillämpar på varje komponent som kan röra en körande maskin.

Läs vidare: En AI körde själv ett helt ransomware-angrepp  |  29 år gammalt Squid-fel läcker inloggningar i klartext