CurXecute: van een verborgen prompt naar code uitvoeren in Cursor
Een AI-agent las een bericht van buiten, en voerde daarna een commando van een aanvaller uit. Zelfs als de gebruiker nee zei.
Wat er gebeurde
Onderzoekers van Aim Security ontdekten dat de AI-agent van Cursor zonder goedkeuring bestanden in de werkmap kon maken. Als het MCP-configuratiebestand .cursor/mcp.json nog niet bestond, kon een verborgen prompt in data van buiten de agent dat bestand laten schrijven. Bijvoorbeeld via een bericht in een Slack-kanaal dat de agent via een MCP-server moest samenvatten.
Het nieuwe bestand startte een commando naar keuze van de aanvaller op de machine van de developer, ook als de gebruiker de voorgestelde wijziging afwees.
Aim meldde het op 7 juli 2025. Cursor voegde de volgende dag een fix toe en bracht die uit in Cursor 1.3. De advisory (CVE-2025-54135) noemt alle versies tot en met 1.2.1. De bronnen melden geen misbruik in het wild.
De oorzaak
De agent behandelde tekst van buiten als instructies, en hij kon een configuratiebestand schrijven dat programma's start.
De schade
Geen gemelde slachtoffers. Het mogelijke gevolg: code uitvoeren op afstand, met de rechten van de developer. BleepingComputer noemt ransomware en datadiefstal als mogelijke uitkomsten.
De ernst: CVSS 8,5 in de advisory op GitHub, 8,6 volgens BleepingComputer.
Wat beheer anders had gedaan
Houd AI-tools bijgewerkt, beperk welke MCP-servers een agent mag gebruiken, en koppel een agent met schrijfrechten niet aan kanalen waar vreemden kunnen posten.
Houd geheimen van productie van de ontwikkelmachine af. Dan komt een aanvaller via die machine niet bij de live app.
Beheer haalt niet elk risico weg. Het zorgt wel dat iemand kijkt voordat het misgaat, en dat er een back-up ligt als het toch gebeurt.