Cursor代码编辑器默认配置漏洞可导致任意代码执行
内容提要
Oasis安全公司发现，AI代码编辑器Cursor存在设计缺陷，允许恶意代码在用户打开文件夹时静默执行。该漏洞源于Cursor默认关闭工作区信任功能，攻击者可通过特制文件自动运行恶意任务，窃取敏感数据。与Visual Studio Code相比，Cursor缺乏必要的安全保护，给开发者带来重大风险。
关键要点
-
Oasis安全公司发现AI代码编辑器Cursor存在设计缺陷，允许恶意代码静默执行。
-
该漏洞源于Cursor默认关闭工作区信任功能，攻击者可通过特制文件自动运行恶意任务。
-
Cursor缺乏必要的安全保护，与Visual Studio Code相比，给开发者带来重大风险。
-
攻击者可获取开发者环境中的敏感数据，包括API密钥和云凭证。
-
漏洞的根源在于Cursor允许任务自动运行，无需用户批准。
-
攻击者可通过植入特制的'.vscode/tasks.json'文件实现恶意任务的自动执行。
-
该漏洞不影响Visual Studio Code，因为其默认启用工作区信任功能。
-
Cursor生态系统面临累积风险，之前已遭受多次攻击活动影响。
延伸解读
安全隐患与开发者风险
Cursor代码编辑器的设计缺陷使得开发者在打开文件夹时可能无意中执行恶意代码。这种情况尤其危险，因为攻击者可以在不经过用户确认的情况下窃取敏感数据，如API密钥和云凭证。开发者在使用Cursor时需提高警惕，避免打开不明来源的项目。
与Visual Studio Code的比较
与Cursor不同，Visual Studio Code默认启用工作区信任功能，能够有效阻止高风险操作的自动执行。这一设计使得VS Code在安全性上更具优势，开发者在选择代码编辑器时应考虑这一点，以降低潜在的安全风险。
生态系统的累积风险
Cursor生态系统面临的安全风险并非首次出现，之前的攻击活动表明其安全性问题可能是系统性的。开发者和企业在使用Cursor时，需关注其安全更新和漏洞修复，以防止类似事件的再次发生，确保开发环境的安全。
延伸问答
Cursor代码编辑器的漏洞是什么？
Cursor存在设计缺陷，允许恶意代码在用户打开文件夹时静默执行，源于默认关闭工作区信任功能。
攻击者如何利用Cursor的漏洞？
攻击者通过在公开代码库中植入特制的'.vscode/tasks.json'文件，使得恶意任务在打开文件夹时自动执行。
Cursor与Visual Studio Code的安全性有何不同？
Cursor默认禁用工作区信任功能，而Visual Studio Code默认启用此功能，提供更好的安全保护。
该漏洞可能导致哪些安全风险？
漏洞可能导致攻击者窃取开发者环境中的敏感数据，如API密钥和云凭证。
Cursor生态系统面临哪些累积风险？
Cursor生态系统已遭受多次攻击活动影响，存在整体威胁的累积风险。
如何防范Cursor中的此类漏洞？
用户应谨慎使用Cursor，确保在打开文件夹前了解其内容，并考虑启用额外的安全措施。
