天气 
2025-08-02
IT之家 8 月 2 日消息，科技媒体 bleepingcomputer 昨日（8 月 1 日）发布博文，报道称让程序员“氪金”上瘾的 AI 工具 Cursor 存在 CurXecute 严重漏洞，几乎影响所有版本，官方已于 7 月 29 日发布 1.3 版本修复，并敦促开发者尽快升级。
该漏洞追踪编号为 CVE-2025-54135，可以被攻击者利用注入恶意提示，让 AI 智能体执行远程代码，并获得开发者权限。
Cursor 集成开发环境（IDE）依赖 AI 智能体帮助开发者提高编码效率，并通过 Model Context Protocol（MCP）协议连接外部资源。
然而，研究人员警告，MCP 虽然扩展了 AI 智能体的能力，但也让其暴露在不信任的外部数据中，可能影响其控制流程，攻击者可借此劫持代理会话，冒用用户权限执行操作。
攻击手法与 Microsoft 365 CoPilot 的“EchoLeak”漏洞类似，后者可无用户交互地窃取敏感数据。在 Cursor 中，攻击者可通过外部托管的服务注入恶意提示，篡改项目目录下的~/.cursor/ mcp.json 文件，从而实现任意命令的远程执行。
Aim Security 团队创建的演示视频显示，攻击者可利用第三方 MCP 服务器（如 Slack、GitHub）发布恶意提示，在受害者打开聊天并指令 AI 智能体总结消息后，恶意载荷（如 shell）会直接写入磁盘。攻击面包括任何处理外部内容的第三方 MCP 服务器，如问题跟踪器、客服收件箱甚至搜索引擎。IT之家附上演示视频如下：
研究人员于 7 月 7 日私下报告漏洞，Cursor 次日即合并补丁至主分支。7 月 29 日发布的版本 1.3 包含多项改进和修复。Cursor 同时发布安全公告，将漏洞评为中等严重性（8.6 分），敦促用户立即更新至最新版本，以避免已知风险。
广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，IT之家所有文章均包含本声明。
来源于：https://www.ithome.com/0/872/555.htm 如有侵权请联系我们
猜你喜欢
2025-08-08
余承东曝光享界S9T大五座，“霸总”出镜...
今日，华为常务董事、终端BG董事长余承东在社交平台发布了一些体验享界S9T的视频，也曝光了一些值得关注的信息。从一系列视频中，我们可以看到，享界S9T超大的装载...
READ MORE
2025-08-08
AI 抢人大战白热化：苹果“失血”严重，...
IT之家 8 月 8 日消息，金融时报昨日（8 月 7 日）发布博文，报道称苹果在 AI 方面的挑战，不仅在于 Siri 个性化功能延迟，动摇了员工和忠实客户的...
READ MORE
2025-08-08
送别永远的“如来佛祖”，六小龄童现身朱龙...
8月6日，朱龙广告别仪式举行，六小龄童等人前来送别。六小龄童在采访中表示自己最后一次见朱龙广是23年4月，参加一个北京的艺术座谈会，“当时他腿已经有点不好，我还...
READ MORE
2025-08-08
美团外卖：不会用100%的补贴率制造1元...
8月7日农历立秋当晚11点，美团外卖官方微博发文宣布今年“秋天的第一杯奶茶”活动如期结束，美团外卖表示，“不会发布连续三天超越1亿单这种战报，不会用100%的补...
READ MORE
2025-08-08
热搜！74岁刘晓庆被举报涉嫌偷税漏税，官...
8月8日，国家税务总局上海市税务局第四稽查局公布情况通报：近期，我局对王某举报刘某庆及相关企业涉税违法事项依法进行了核查。经查，未发现举报所反映的涉税问题。 该...
READ MORE最新发布
-
余承东曝光享界S9T大五座，“霸总”出镜抢先实测
综合新闻, 2025-08-08 -
AI 抢人大战白热化：苹果“失血”严重，核心团队快被 Met...
综合新闻, 2025-08-08 -
送别永远的“如来佛祖”，六小龄童现身朱龙广告别仪式，透露最后...
综合新闻, 2025-08-08 -
美团外卖：不会用100%的补贴率制造1元购、1毛购
综合新闻, 2025-08-08 -
热搜！74岁刘晓庆被举报涉嫌偷税漏税，官方最新通报！本人回应
综合新闻, 2025-08-08
