Уязвимость в Cursor AI позволяет скрытно запускать код из вредоносных репозиториев

В редакторе кода с поддержкой ИИ Cursor выявлена серьёзная уязвимость, которая может привести к выполнению произвольного кода при открытии специально подготовленного репозитория. В чём проблема Как выяснила Oasis Security, по умолчанию в Cursor отключена функция Workspace Trust, которая в Visual Studio Code защищает разработчиков от выполнения подозрительных задач при открытии проектов. Из-за этого в Cursor VS Code-style задачи с параметром runOptions.runOn: "folderOpen" запускаются автоматически сразу после открытия папки. Достаточно добавить вредоносный файл .vscode/tasks.json, чтобы превращение обычного «open folder» в незаметный запуск кода произошло в контексте пользователя. Исследователь Oasis Security Эрез Шварц отметил, что это может привести к краже учётных данных, изменению файлов или стать точкой входа для компрометации всей системы. Риски для разработчиков Cursor — форк Visual Studio Code с интеграцией ИИ, однако отключённая защита значительно расширяет поверхность атаки. Злоумышленники могут разместить заражённый проект на GitHub или другой платформе: при его открытии в Cursor вредоносные команды выполняются без предупреждения. Эксперты советуют: включить Workspace Trust в настройках Cursor, открывать сомнительные проекты в другом редакторе, предварительно проверять репозитории перед использованием. Широкий контекст: атаки на AI-инструменты Инцидент с Cursor вписывается в растущую волну угроз для AI-сред разработки: Anthropic Claude Code уязвим к prompt injection, когда вредоносные комментарии убеждают систему игнорировать уязвимости; в дополнениях Claude Code обнаружена уязвимость обхода WebSocket-аутентификации (CVE-2025-52882, CVSS 8.8), позволявшая удалённое выполнение команд; уязвимости SQL-инъекций, обхода авторизации и XSS фиксировались в серверах Postgres MCP, Lovable, Base44 и других инструментах; в Ollama Desktop из-за некорректных CORS-настроек злоумышленник мог изменить ответы модели через «drive-by» атаку. Эксперты Imperva подчёркивают: главная проблема не только в новых методах атак на ИИ, но и в классических ошибках безопасности. При развитии экосистемы AI-разработки защита должна быть базовым уровнем, а не второстепенной задачей....

Уязвимость в Cursor AI позволяет скрытно запускать код из вредоносных репозиториев

Сообщает itzine.ru

 

Новость из рубрики: Технологии, Наука

 

Поделиться новостью: Поделиться новостью в Facebook Поделиться новостью в Twittere Поделиться новостью в VK Поделиться новостью в Pinterest Поделиться новостью в Reddit

 
 

Критическая уязвимость в GitLab AI Gateway позволяет удалённо выполнять команды 06:57, 05 Окт Критическая уязвимость в GitLab AI Gateway позволяет удалённо выполнять команды Ошибка с оценкой 9,9 из 10 затрагивает самостоятельно развёрнутые AI Gateway и требует аутентифицированного доступа к GitLab Duo Agent Platform GitLab выпустила срочные обновления для критической уязвимости в AI Gateway, которая при определённых усл...

Фатальная уязвимость PlayStation Network позволяет взламывать учетные записи даже с 2FA 02:57, 25 Дек Фатальная уязвимость PlayStation Network позволяет взламывать учетные записи даже с 2FA Французский журналист Николя Леллуш сообщил, что его учетная запись PlayStation Network была дважды взломана с использованием так называемой «фатальной уязвимости» в проверке владения аккаунтом.Хакеры смогли изменить адрес электронной почты и пароль...

Ландшафтный дизайн от L.BURO: когда природа становится частью дома 15:44, 19 Авг Ландшафтный дизайн от L.BURO: когда природа становится частью дома Сад, парк, двор — это больше, чем просто территория. Это продолжение вашего пространства, место, где можно остановиться, вдохнуть свежий воздух и почувствовать ритм природы. Ландшафтный дизайн делает эту среду осмысленной, красивой и удобной. В сту...

Эксперт: Уязвимость Copy Fail не позволяет полностью захватить российскую Astra Linux 02:57, 07 Май Эксперт: Уязвимость Copy Fail не позволяет полностью захватить российскую Astra Linux Директор департамента анализа безопасности «Группы Астра» Владимир Тележников рассказал, что обнаруженная в ядре Linux критическая уязвимость Copy Fail (CVE-2026-31431) позволяет локальному пользователю повысить привилегии до root. В большинстве сис...

Взлом GitHub: хакеры выставили на продажу 4000 репозиториев 17:57, 20 Май Взлом GitHub: хакеры выставили на продажу 4000 репозиториев GitHub подтвердил взлом своих внутренних систем после того, как группа TeamPCP заявила о краже примерно 4000 приватных репозиториев компании и потребовала $50 тысяч. По словам GitHub, признаков компрометации клиентских репозиториев сейчас нет, но ис...

Новая крупная атака на GitHub: Megalodon заразил более 5 000 репозиториев через фальшивые коммиты 03:57, 26 Май Новая крупная атака на GitHub: Megalodon заразил более 5 000 репозиториев через фальшивые коммиты Новый вредоносный код распространяется через автоматические коммиты и ворует ключи и токены разработчиков, угрожая безопасности цепочки поставок ПОИсследователи SafeDep обнаружили новую волну атак на GitHub: вирус Megalodon заразил более 5 500 репоз...

SpaceX договорилась о покупке стартапа Cursor за $60 млрд 22:57, 16 Июн SpaceX договорилась о покупке стартапа Cursor за $60 млрд SpaceX согласовала покупку Cursor, разработчика ИИ-инструментов для программирования, за $60 млрд, сообщает Bloomberg со ссылкой на документы сделки. Закрытие ожидается в третьем квартале 2026 года, а инвесторы стартапа получат акции SpaceX исходя и...

SpaceX покупает за $60 млрд. стартап Anysphere  разработчика популярных ИИ-инструментов для программирования Cursor 02:57, 17 Июн SpaceX покупает за $60 млрд. стартап Anysphere — разработчика популярных ИИ-инструментов для программирования Cursor Компания SpaceX объявила о приобретении компании Anysphere — разработчика популярного ИИ-редактора и ИИ-агента для автоматического написания кода Cursor. Сделка на сумму $60 млрд. позволит космической корпорации укрепить позиции в сфере корпор...

09:57, 15 Авг Крупнейшая сделка на рынке ИИ после крупнейшего в мире IPO: SpaceX купила Cursor за 60 миллиардов долларов Сделка завершена Компания Cursor официально стала частью SpaceX. Завершение сделки стало итогом сотрудничества, о котором стороны объявили еще в апреле. Изначально партнерство было направлено на ускорение обучения ИИ-моделей. Разработчики Cursor счи...

19:57, 18 Апр ИИ-стартап Cursor привлёк $2 млрд при оценке $50 млрд на фоне роста выручки Компания ускоряет рост в сегменте AI-кодинга, улучшает маржинальность и конкурирует с Claude Code и CodexИИ-стартап Cursor, разрабатывающий инструменты для программирования с использованием искусственного интеллекта, готовится привлечь не менее $2 м...

18:57, 29 Май Как запускать приложения и команды с iPhone на Mac — пошаговая инструкция Все знают, что Apple встроила функцию «Видеоповтор iPhone» — она позволяет управлять смартфоном с Mac. Но в обратную сторону нативных инструментов нет. Я часто работаю за Mac с несколькими открытыми приложениями одновременно. ChatGPT, Claude, ...

02:57, 27 Июн «Рога и копыта» вскрыли уязвимость рейтингов HeadHunter На круглом столе, организованном «Ридусом» совместно с ОСН, участники обсудили результаты резонансного социального эксперимента, который обнажил системные уязвимости в рейтингах работодателей. Депутаты Госдумы, HR-эксперты и представители аналитичес...

11:57, 13 Июн AMD отказала в выплате $10 000 за критическую уязвимость — исправление заняло 124 дня Исследователь сообщил о проблеме в системе обновлений, но вознаграждение ему так и не выплатилиВокруг компании AMD разгорелся скандал после того, как исследователь безопасности обнаружил критическую уязвимость в системе автоматического обновления др...

14:57, 26 Сен Launchpad исчез из macOS Tahoe: чем заменить и как запускать приложения Обновленная macOS Tahoe получила свежий дизайн и новые функции, но лишилась одного из самых узнаваемых элементов интерфейса под названием Launchpad. Этот инструмент напоминал домашний экран iPad: сетка иконок, удобный поиск, жесты. Для многих пользо...

14:57, 26 Авг В браузере Comet от Perplexity обнаружена серьёзная уязвимость безопасности Новый AI-браузер Comet от Perplexity, оснащённый встроенным помощником на базе больших языковых моделей, оказался уязвим для атак. Как сообщили в компании Brave, в ходе тестирования выяснилось, что с помощью скрытых команд на веб-страницах можно был...

13:57, 19 Ноя Уязвимость WhatsApp* позволяла собрать номера всех пользователей WhatsApp* — один из самых крупных мессенджеров в мире, и его стремительный рост во многом объясняется простотой поиска пользователей: достаточно знать номер телефона. Но эта же особенность привела к серьёзной проблеме — до недавнего времени номер лю...

18:57, 22 Май В Chrome нашли уязвимость, из-за которой ПК становятся частью ботнета В браузерах на движке Chromium (Google Chrome, Microsoft Edge и др) нашли серьёзную уязвимость. Она, как пишут СМИ, позволяет вредоносным сайтам незаметно управлять вашим браузером.Проблема связана с функцией «Browser Fetch». Если подробно, это встр...

21:57, 27 Авг Сомнительная «личка»: В WhatsApp обнаружена новая уязвимость сообщений Эксперты из Израиля показали на скринах как выглядит проблема. WhatsApp доказывает, что служба обмена сообщениями полностью зашифрована, и её невозможно перехватить или взломать. Израильская фирма по кибербезопасности разбила это утверждение. «...

19:57, 23 Авг Новая уязвимость Windows 10 даёт хакерам полный доступ к ПК Обновление операционной системы сделало всю работу за злоумышленников. Microsoft в последнее время зачастила с «кривыми» обновлениями для Windows, которые постоянно что-то ломают. Но если по большей части компанию это не особенно беспоко...

01:57, 27 Май В 2027 году NASA будет запускать ракеты на Луну ежемесячно Глава NASA анонсировал регулярные роботизированные высадки на Луне для строительства базыНациональное управление США по аэронавтике и исследованию космического пространства (NASA) намерено кардинально увеличить частоту космических запусков к спутник...

12:57, 04 Окт Даже слабая гравитация Луны может запускать землетрясения на Земле Всё дело в резонансе Даже слабое гравитационное воздействие Луны и Солнца способно влиять на движение земных разломов и при определенных условиях запускать так называемые медленные землетрясения. Ученые из Франции с помощью компьютерного моделирован...

12:57, 12 Фев Microsoft устранила уязвимость в «Блокноте», связанную с удалённым выполнением кода (RCE) Microsoft выпустила обновление безопасности для приложения «Блокнот» в Windows 11, которое исправляет серьёзную уязвимость с идентификатором CVE-2026-20841. Проблема классифицируется как ошибка удаленного выполнения кода (RCE) и связана с некорректн...

17:57, 22 Фев Суперсети беспилотников оказались уязвимы для тайного саботажа: ИИ-уязвимость VillainNet Автономные автомобили всё активнее выходят на дороги, но их безопасность зависит от моделей искусственного интеллекта — суперсетей, способных адаптироваться к миллиардам сценариев. Недавнее исследование Georgia Institute of Technology выявило ...

14:57, 26 Май Затронуто 56 моделей: в четырех линейках процессоров AMD обнаружена опасная уязвимость Линейки AMD Epyc, Ryzen, Epyc Embedded и Ryzen EmbeddedИсследователь Тимофей Дудицкий из Positive Technologies обнаружил проблему в прошивке материнских плат UEFI, связанную с драйвером SMM, отвечающим за работу компонента AMD Platform Configuration...

03:57, 09 Сен Это почти как возвращение SLI. Появилась возможность запускать обработку DLSS 5 на отдельной видеокарте Пока это незавершённый проект Похоже, концепция объединения двух видеокарт в одну систему может получить новую жизнь из-за DLSS 5. Как минимум в Сети уже появился мод, который позволяет использовать вторую видеокарту ПК для задач нейронного рендерин...

21:57, 14 Окт Только для себя: Google разрешила запускать ИИ-приложения на Android без публикации в магазине На первом этапе функция заработает в США для пользователей старше 18 лет Компания Google добавила в Google Play возможность устанавливать на Android личные приложения, созданные с помощью ИИ. Они будут доступны только своим авторам и не появятся в п...

02:57, 11 Сен 10 тысяч ракет за год или по ракете каждый час — столько собираются запускать в США к 2035 году План по орбитальным пускам к 2030 году, ранее анонсированный Трмапом, планируется увеличить в 10 раз всего за 5 лет США планируют резко увеличить количество космических запусков — до 10 тысяч в год к 2035 году. Об этом сообщил министр транспорта США...

00:57, 04 Авг За кулисами обвала евро: план поддержки йены выявил уязвимость долга США Неожиданный союз двух крупнейших экономик мира привел к резкому изменению котировок евро и обнажил критические риски американской долговой системы. США поддержали курс йены во избежание критических затрат на обслуживание долга США и Япония впервые з...

05:57, 25 Дек Riot Games выявила опасную UEFI-уязвимость на платах Asus, MSI и Gigabyte Специалисты компании Riot Games обнаружили критическую уязвимость в реализации UEFI на материнских платах Asus, Gigabyte, MSI и ASRock, позволяющую провести DMA-атаку и получить прямой доступ к оперативной памяти на раннем этапе загрузки системы. Об...

18:57, 14 Авг Космические силы США выделили $50 млн на «пращу» для спутников: Space Kinetic будет запускать их центрифугой Система Whirlwind будет раскручивать микроспутники на борту базового аппарата и выбрасывать их на высокой скорости, без расхода топлива на начальный импульс, после чего аппарат самостоятельно выходит на нужную орбитуКосмические силы США выделили ста...

02:57, 16 Май Космические лучи оказались способны запускать синтез предбиологической органики в окрестностях протозвёзд Международная команда астрохимиков впервые получила прямые доказательства того, что локальная космическая радиация в окрестностях массивных молодых звёзд не уничтожает сложные молекулы, а стимулирует формирование химических предшественников жизниВыс...

23:57, 08 Июл Немецкая Isar Aerospace построит стартовый комплекс в Канаде и будет запускать до 40 ракет в год Компания подписала десятилетнее соглашение с Maritime Launch Services и начнёт готовить собственную площадку в космопорте Spaceport Nova Scotia уже в этом годуНемецкая аэрокосмическая компания Isar Aerospace подписала десятилетнее соглашение с канад...

12:57, 14 Мар Обнаружена новая уязвимость Zombie ZIP, которая может обойти большинство антивирусов на Windows Обнаружена относительно простая уязвимость под название Zombie ZIP, которая помогает вредоносам обходить защиту антивирусных программ. Уязвимости уже присвоен идентификатор CVE-2026-0866. По словам исследователей, схема работы вредоноса крайне прост...

01:57, 19 Ноя Apple разрешила запускать сторонние голосовые помощники кнопкой блокировки вместо Siri, но не везде iOS 26.2 приносит одну из самых необычных функций за последние годы. Теперь владельцы iPhone в Японии смогут назначать стороннего голосового помощника на боковую кнопку. До этого долгое удержание кнопки блокировки всегда приводило только к запуску S...

06:57, 26 Июн Почему стиральную машину нельзя запускать 3 раза подряд: урок, который лучше выучить на чужом опыте Фото Progorod58 Три стирки подряд кажутся отличной идеей, пока однажды стиральная машина не начинает шуметь, перегреваться или вовсе перестаёт включаться. Всё дело в нагрузке, о которой многие даже не задумываются. В выходные хочется быстро перестир...

07:57, 13 Окт Steam Deck научили запускать игры для PS5 из облака. Asobi: Remote Play вышла из раннего доступа с поддержкой Windows Владельцы Steam Deck и Windows-устройств получили альтернативу PlayStation Portal. Приложение Asobi: Remote Play переносит на сторонние устройства функции портативной консоли Sony, включая облачную трансляцию игр для PS4 и PS5. Для этого не обязател...

09:57, 17 Янв Отсюда ракеты Starship должны запускать на Луну и Марс: появились качественные фото нового стартового стола и башни Mechazilla на космодроме Starbase На космодром Starbase, где SpaceX активно развивает проект Starship, уже практически готов второй стартовый стол OLM-B, который показали на новых воздушных снимках. Строительство второй площадки на космодроме Starbase подтверждает планы SpaceX по со...

10:57, 25 Май Starship собираются запускать чаще, чем раз в час: более 10 000 запусков в год, каждый из которых будет выводить более 200 тонн полезной нагрузки SpaceX сможет выводить на орбиту миллионы тонн грузов ежегодноИлон Маск объявил амбициозную цель SpaceX: компания намерена запускать Starship чаще, чем раз в час — всего более 10 000 запусков ракет в год (всего в году 8760 часов). По его словам, каж...

22:57, 18 Ноя В Китае создали таблетку, которая якобы позволяет дожить до 150 лет Китайские таблетки от старости основаны на веществе, который содержится в виноградных косточках В Китае заявили о создании таблетки, которая якобы способна продлить человеческую жизнь до 150 лет. Стартап называет это «революцией в борьбе со старение...

18:57, 19 Сен Док-станция eGPU Aoostar EG01 позволяет установить ПК на видеокарту Компания Aoostar, специализирующаяся на мини-компьютерах и внешних графических ускорителях, представила новую док-станцию для подключения дискретной видеокарты. Информация о EG01 – устройстве с Thunderbolt 5 и поддержкой полноразмерных десктопных ви...

01:57, 11 Сен Анализ крови позволяет выявить онкологию за 10 лет до появления симптомов Вирус папилломы человека (ВПЧ) вызывает около 70% случаев рака головы и шеи в США, что делает его самым распространённым видом рака, вызываемым этим вирусом, и частота его возникновения растёт с каждым годом. В отличие от рака шейки матки, вызываемо...

07:57, 14 Сен Умная розетка Xiaomi за $7 позволяет установить допустимую мощность от 100 до 2 500 Вт И позволяет дистанционно управлять обычной бытовой техникой без отдельного шлюза Xiaomi продолжает сбор средств на выпуск умной розетки Smart Socket 4 на платформе Xiaomi Youpin. На старте устройство предлагают за 49 юаней, или около 7 долларов. Габ...

19:57, 15 Фев 3D-печать с вращающимся соплом позволяет создавать мягких роботов Мягкие роботы, изготовленные из гибких, биосовместимых материалов, пользуются большим спросом в самых разных отраслях — от здравоохранения до производства, но точное проект