Cursor AI Kod Editöründeki Hata, Hackerların Kodu Otomatik Olarak Çalıştırmasına İzin Veriyor

Bir milyondan fazla geliştirici Cursor’u AI kod düzenleyicisi olarak kullanıyor ancak araçta kritik bir güvenlik açığı bulunduğu keşfedildi.

Oasis Security‘ye göre, Cursor’daki güvenlik açığı, saldırganların geliştiriciler projelerini açtığında otomatik olarak kötü niyetli depo kodunu çalıştırmalarını sağlar, hiçbir tıklama veya onay gerekmez.

Cursor, Visual Studio Code (VS Code) temelli ancak varsayılan olarak önemli bir güvenlik özelliği olan Workspace Trust’ı devre dışı bırakarak gelir. Bu şekilde, saldırganlar proje klasörlerine otomatik olarak kullanıcıların klasöre eriştiği anda çalıştırılan kötü amaçlı dosyalar yerleştirebilirler.

Bu kod, kimlik bilgilerini, API tokenlerini ve yapılandırma dosyalarını çalabilir veya hatta hacker kontrolündeki sunuculara bağlanabilir. BleepingComputer geliştiricilerin dizüstü bilgisayarlarında genellikle bulut anahtarları ve izinler olduğunu, bu durumun saldırganlara şirket sistemlerine saldırmaları için bir giriş noktası oluşturduğunu belirtti.

VS Code kendisi, kullanıcı açıkça güven vermedikçe bu otomatik çalışmaları engellediği için etkilenmiyor. Tehlikeyi göstermek için Oasis, basit bir görevin bir geliştiricinin kullanıcı adını dış bir sunucuya nasıl gönderebileceğini gösteren bir konsept kanıtını paylaştı.

Cursor ise varsayılan ayarlarını değiştirme planı yok. Şirket, “Workspace Trust, kullanıcılarımızın ürün içinde kullanmak istediği AI ve diğer özellikleri devre dışı bırakıyor” diye açıkladı. Bunun yerine, şirketin güvenlik yönlendirmesini güncelleyerek kullanıcıların gerektiğinde Workspace Trust’ı manuel olarak etkinleştirmelerine yardımcı olacağını belirtiyor.

Şimdilik, Oasis Security, kullanıcıların autorun görevleri için proje aramaları yaparken ve bilinmeyen depoları sanal makineler içinde test ederken Cursor’da Workspace Trust’ı etkinleştirmelerini öneriyor.

“Bu, hassas kimlik bilgilerinin sızmasına, dosyaların değiştirilmesine veya daha geniş sistem ihlaline yönelik bir vektör olarak hizmet etme potansiyeline sahip,” diye uyardı Oasis.