Una falla nel coding agent Cursor permetteva l'esecuzione arbitraria di comandi prima della verifica di sicurezza, bypassando persino la sandbox isolata.
Recentemente, i ricercatori di Manifold Security hanno individuato una vulnerabilità significativa all'interno di Cursor, l'editor di codice basato su intelligenza artificiale che sta guadagnando rapidamente popolarità tra gli sviluppatori. Il difetto risiede nella gestione della funzionalità di isolated worktree, progettata per permettere all'agente AI di operare su una copia del repository separata dall'ambiente di lavoro principale dell'utente. Secondo l'analisi, un repository appositamente confezionato poteva forzare l'esecuzione di comandi arbitrari sulla macchina della vittima non appena questa apriva il progetto, aggirando completamente il meccanismo di workspace trust (la richiesta di autorizzazione che solitamente protegge l'utente da codice non verificato).
Il problema nasce da una procedura di configurazione automatica che Cursor esegue all'avvio dell'agente. Quando viene utilizzata la flag per il worktree, il sistema legge un file di configurazione tracciato all'interno del repository e ne passa il contenuto direttamente alla shell di sistema senza alcuna validazione, filtraggio o richiesta di consenso. Questo comportamento è estremamente pericoloso: un attaccante può inserire comandi malevoli nel file di configurazione, permettendo azioni come il furto di chiavi SSH, l'esfiltrazione di credenziali cloud, l'apertura di una reverse shell o l'installazione di meccanismi di persistenza sul sistema dello sviluppatore.
Ciò che rende la falla particolarmente grave è il fallimento della sandbox. Nonostante l'utente potesse attivare esplicitamente la modalità protetta, il processo di setup ignorava tale impostazione a causa di una direttiva hardcoded interna, rendendo di fatto inutile la protezione prevista per isolare l'agente AI.
La vicenda solleva dubbi sulla gestione della sicurezza da parte di Cursor. Non si tratta infatti di un caso isolato: nel 2025, un'altra vulnerabilità simile (catalogata come CVE-2025-64109, con un punteggio di severità CVSS di 8.8) permetteva l'avvio automatico di server malevoli. Nonostante la patch rilasciata all'epoca, la nuova implementazione del worktree ha riproposto la stessa identica primitiva di attacco, suggerendo una lacuna nei processi di regression testing dell'azienda.
Sebbene Cursor abbia rilasciato una patch correttiva a soli tre giorni dalla segnalazione di Manifold, la gestione della comunicazione è stata oggetto di forti critiche. L'azienda ha chiuso la segnalazione su HackerOne classificandola come "informativa", sostenendo che l'attacco richieda comunque l'azione dell'utente (ovvero clonare o aprire un repository malevolo) e che non vi fosse un bypass diretto del sistema di fiducia. Manifold ha contestato fermamente questa posizione, sottolineando che l'intero scopo di un editor di codice è proprio quello di clonare e aprire repository, rendendo l'interazione dell'utente una condizione standard e non una mitigazione.
Inoltre, Cursor non ha pubblicato alcun advisory di sicurezza ufficiale né ha menzionato la correzione nel changelog di luglio. Questa mancanza di trasparenza impedisce agli utenti di comprendere l'urgenza dell'aggiornamento. Gli sviluppatori che utilizzano la funzionalità worktree sono caldamente invitati ad aggiornare alla build 2026.07.23-e383d2b o successive, o in alternativa a utilizzare le flag documentate per disabilitare completamente la fase di setup automatico del worktree.
Sebbene l'aggiornamento risolva la finestra di esecuzione pre-trust, i ricercatori avvertono che il problema strutturale relativo alla sandbox potrebbe persistere nelle versioni attuali, rendendo necessaria una vigilanza costante da parte degli sviluppatori che operano in ambienti sensibili.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
