KI-Exploit durch Prompt Injection Cursor-Schwachstellen hebeln Sandbox aus

Zwei kritische Sicherheitslücken in Cursor erlauben Zero-Click Prompt Injection und vollständige Systemübernahme. Angreifer können Sandbox-Beschränkungen umgehen und beliebigen Code ausführen. Update auf Version 3.0 ist zwingend.

Unter dem Namen „DuneSlide“ hat das Team von Cato AI Labs zwei kritische Sicherheitslücken untersucht, die es in Cursor-IDE, einer KI-Entwicklungsumgebung, entdeckt hat. Das noch recht junge und derzeit populäre Tool basiert im Kern auf Visual Studio Code und wurde so erweitert, dass Künstliche Intelligenz direkt in den Programmier-Workflow integriert ist, um Code zu vervollständigen, Fehler zu finden und zu beheben sowie Vorschläge für Projektänderungen zu erhalten. DuneSlide ermöglicht es Cyberangreifern mithilfe von Zero-Click Prompt Injections, beliebige Dateien auf dem lokalen System des Entwicklers zu schreiben.

Umgehung von Sicherheitsfunktionen

Erste Zero-Click-Schwachstelle in Copilot entdeckt

EUVD-2026-39537 / CVE-2026-50548

Die Schwachstelle EUVD-2026-39537 / CVE-2026-50548 (CVSS-Score 9.3, EPSS-Score^* 0.58) ergibt sich Cato zufolge aus der Art und Weise, wie die Sandbox ihre Sicherheitsgrenzen auf der Grundlage von Tool-Parametern festlegt. Wird ein Befehl ausgeführt, erstellt Cursor eine sogenannte „Seatbelt“-Richtlinie, die Schreibzugriffe in das aktuelle Arbeitsverzeichnis zulässt. Die genaue Schwachstelle bestehe darin, dass Pfade zur Liste der zulässigen Schreibzugriffe der Sandbox hinzugefügt werden, sofern das Large Language Model (LLM) dem optionalen Parameter „run_terminal_cmd“ einen vom Standard abweichenden Wert zuweist. Über eine harmlose MCP-Serveranfrage (Model Context Protocol) oder ein manipuliertes Web-Suchergebnis könnten Angreifer mithilfe von Prompt Injection das LLM demnach dazu veranlassen, das Projektstammverzeichnis „working_directory“ auf einen vom Angreifer kontrollierten Pfad außerhalb des Projektumfangs zu setzen. Durch das Schreiben in die ausführbare Datei „cursorsandbox“ (/Applications/Cursor.app/Contents/Resources/app/resources/helpers/cursorsandbox) könne dann sichergestellt werden, dass zukünftige Befehle ohne Sandbox-Einschränkungen ausgeführt werden, sodass nachfolgende Anweisungen im Rahmen derselben Prompt Injection zu einer Remote Code Execution (RCE) außerhalb der Sandbox führen.

Normalerweise könne ein Angreifer aus der Ferne laut Cato das Arbeitsverzeichnis eines in einer Sandbox ausgeführten Vorgangs nicht kontrollieren. Da es sich bei Codierungsagenten jedoch um eine einzigartige Softwarekomponente handle, diene bei dieser Schwachstelle eine Prompt Injection als Zugang zu diesem Teil des Codes. Dieses Problem betrifft alle Cursor-Versionen vor 3.0. Auch die Pfade „~/.zshrc“, „~/.zshenv“ oder „~/Library/LaunchAgents“ seien anfällig.

CVE-2026-42824 in Microsoft 365 Copilot Enterprise

Copilot-Lücke SearchLeak ermöglicht Datendiebstahl per Klick

EUVD-2026-39536 / CVE-2026-50549

Für ein ähnlich gefährliches Ergebnis, auch wenn an anderer Stelle im System, sorgt die Schwachstelle EUVD-2026-39536 / CVE-2026-50549 (CVSS-Score 9.3, EPSS-Score 0.58). Eine fehlerhafte Dateipfadauflösung von Cursor ermöglicht es Cyberkriminellen, den Schreibschutz für Bereiche außerhalb des zulässigen Bereichs mithilfe symbolischer Links zu umgehen.

Auch hier können Angreifer mithilfe von MCP-Serveranfragen oder manipulierte Suchergebnisse Prompt Injecion durchführen und den Cursor-Agent dazu veranlassen, im Projektverzeichnis einen Symlink zu erstellen, der auf eine Datei außerhalb des Projektverzeichnisses verweist. Standardmäßig versuche der Cursor-Agent laut Cato, Pfade zu kanonisieren und Symlinks aufzulösen, um ihren tatsächlichen Speicherort zu ermitteln und zu überprüfen, ob sie sich innerhalb des Projektstamms befinden. Doch aufgrund eines Fehlers in der Kanonisierung-Logik entstehe ein gefährlicher Fallback, wie Cato erläutert: Wenn die Kanonisierung fehlschlage, zum Beispiel, wenn der Pfad nicht existiere oder wenn für eines der Verzeichnisse im Pfad keine Leserechte vorhanden seien, greife Cursor auf den ursprünglichen Symlink-Pfad innerhalb des Projektverzeichnisses zurück. Daraufhin könne ein Angreifer einen „write-only“-Symlink erstellen und Cursor dazu zwingen, den aufgelösten Pfad als Symlink-Pfad statt als Zielpfad anzusehen. Dadurch erkenne Cursor nicht, dass das endgültige Ziel außerhalb des zulässigen Bereichs liege, was es dem Angreifer ermögliche, erneut einen Link zur ausführbaren Datei „cursorsandbox“ herzustellen (/Applications/Cursor.app/Contents/Resources/app/resources/helpers/cursorsandbox). Mithilfe des „Write“-Tools überschreibe der Angreifer anschließend diese externe Datei über den Symlink, wodurch die Sandbox für nachfolgende Befehle, die im Rahmen derselben Prompt Injection ausgeführt werden, außer Kraft gesetzt werde. Dies wiederum führe zu einer RCE.

Bei den meisten herkömmlichen Softwareprogrammen sei es einem externen Angreifer nicht möglich, aus der Ferne symbolische Links auf dem Rechner des Opfers anzulegen. In diesem Fall sei der Cursor-Agent durch eine Prompt Injection zu einem Brückenkopf für nicht triviale Operationen geworden, die zu einer vollständigen Kompromittierung des Systems führen könnten. Auch EUVD-2026-39536 / CVE-2026-50549 betrifft alle Versionen vor Cursor 3.0 und wurde mit 3.0 behoben.

Gemeldet, aber nicht behoben

Gravierende RCE-Schwachstelle in Claude Desktop Extension

Offenlegungsprozess mit anfänglichen Schwierigkeiten

Cato AI Labs hat eigenen Angaben nach die DuneSlide-Sicherheitslücken am 19. Februar 2026 am das Cursor-Team gemeldet. Vier Tage später, am 23. Febraur, seien diese zurückgewiesen worden, da das Bedrohungsmodell von Cursor keinen Missbrauch des MCP-Servers berücksichtige, auch in Fällen, in denen der MCP-Server selbst eine standardmäßige, harmlose Integration darstelle, wie beispielsweise der offizielle Linear.app-Arbeitsbereich. Das Cato-Team sah die Schwere der Schwachstellen jedoch als so hoch an, dass es die Probleme am 26. Februar an das Cursor-Sicherheitsteam eskaliert habe. Dieses habe die Schwachstellen aufgenommen.

Nach den Anfangsschwierigkeiten bei der Meldung der Sicherheitslücken lief die Offenlegung geordnet ab. Am 1. April habe Cursor bestätigt, dass die die Behebung der Sicherheitslücke im Arbeitsverzeichnis mit dem Cursor 3.0-Client ausgeliefert werde. Und am 1. Juni habe das Cursor-Team bestätigt, dass die Behebung der Schwachstelle im Link-Ziel ebenfalls mit Cursor 3.0 ausgeliefert wurde. Am 5. Juni wurden die entsprechenden IDs EUVD-2026-39537 / CVE-2026-50548 und EUVD-2026-39536 / CVE-2026-50549 vergeben.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

23 Exploits in „bikini/exploitarium“-Repository

Wenn der Exploit vor dem Advisory kommt

(ID:50886424)