8 月 2 日消息，科技媒體 bleepingcomputer 昨日（8 月 1 日）發(fā)布博文，報道稱讓程序員“氪金”上癮的 AI 工具 Cursor 存在 CurXecute 嚴(yán)重漏洞，幾乎影響所有版本，官方已于 7 月 29 日發(fā)布 1.3 版本修復(fù)，并敦促開發(fā)者盡快升級。l4028資訊網(wǎng)——每日最新資訊28at.com

該漏洞追蹤編號為 CVE-2025-54135，可以被攻擊者利用注入惡意提示，讓 AI 智能體執(zhí)行遠(yuǎn)程代碼，并獲得開發(fā)者權(quán)限。l4028資訊網(wǎng)——每日最新資訊28at.com

Cursor 集成開發(fā)環(huán)境（IDE）依賴 AI 智能體幫助開發(fā)者提高編碼效率，并通過 Model Context Protocol（MCP）協(xié)議連接外部資源。l4028資訊網(wǎng)——每日最新資訊28at.com

然而，研究人員警告，MCP 雖然擴(kuò)展了 AI 智能體的能力，但也讓其暴露在不信任的外部數(shù)據(jù)中，可能影響其控制流程，攻擊者可借此劫持代理會話，冒用用戶權(quán)限執(zhí)行操作。l4028資訊網(wǎng)——每日最新資訊28at.com

攻擊手法與 Microsoft 365 CoPilot 的“EchoLeak”漏洞類似，后者可無用戶交互地竊取敏感數(shù)據(jù)。在 Cursor 中，攻擊者可通過外部托管的服務(wù)注入惡意提示，篡改項(xiàng)目目錄下的~/.cursor/ mcp.json 文件，從而實(shí)現(xiàn)任意命令的遠(yuǎn)程執(zhí)行。l4028資訊網(wǎng)——每日最新資訊28at.com

Aim Security 團(tuán)隊(duì)創(chuàng)建的演示視頻顯示，攻擊者可利用第三方 MCP 服務(wù)器（如 Slack、GitHub）發(fā)布惡意提示，在受害者打開聊天并指令 AI 智能體總結(jié)消息后，惡意載荷（如 shell）會直接寫入磁盤。攻擊面包括任何處理外部內(nèi)容的第三方 MCP 服務(wù)器，如問題跟蹤器、客服收件箱甚至搜索引擎。附上演示視頻如下：l4028資訊網(wǎng)——每日最新資訊28at.com

l4028資訊網(wǎng)——每日最新資訊28at.com

研究人員于 7 月 7 日私下報告漏洞，Cursor 次日即合并補(bǔ)丁至主分支。7 月 29 日發(fā)布的版本 1.3 包含多項(xiàng)改進(jìn)和修復(fù)。Cursor 同時發(fā)布安全公告，將漏洞評為中等嚴(yán)重性（8.6 分），敦促用戶立即更新至最新版本，以避免已知風(fēng)險。l4028資訊網(wǎng)——每日最新資訊28at.com

本文鏈接：http://www.www897cc.com/showinfo-119-175269-0.html請立即更新：AI 編程神器 Cursor 曝 8.6 分高危漏洞，可遠(yuǎn)程執(zhí)行任意命令

聲明：本網(wǎng)頁內(nèi)容旨在傳播知識，若有侵權(quán)等問題請及時與本網(wǎng)聯(lián)系，我們將在第一時間刪除處理。郵件：2376512515@qq.com

上一篇： 4 個階段：微軟將逐步開源 Win11 用戶界面框架 WinUI

下一篇： 可輕松追蹤桌面光標(biāo)：微軟 Win11 27913 預(yù)覽版回歸鼠標(biāo)十字準(zhǔn)星功能