Un éditeur de code qui obéit au doigt et à l’œil, c’est pratique. Sauf quand l’œil n’est pas le vôtre. Deux failles critiques dans Cursor, l’éditeur assisté par IA d’Anysphere, permettaient de sortir du sandbox et d’exécuter des commandes sur la machine d’un développeur à partir d’une instruction injectée. Les vulnérabilités CVE-2026-50548 et CVE-2026-50549 ont été corrigées dans Cursor 3.0, publié le 2 avril 2026.
La chaîne d’attaque ne demande ni clic ni validation. D’après le billet relayé par The Hacker News, des instructions cachées peuvent se glisser dans des contenus que l’agent lit à votre place : une source connectée en MCP (Model Context Protocol) ou une page web récupérée lors d’une recherche. Cato AI Labs baptise ce duo DuneSlide et le classe à 9,8/10 en CVSS v3, soit 9,3 sur l’échelle CVSS 4.0. Autant dire le haut du panier.
Points clés
- CVE-2026-50548 et CVE-2026-50549 permettaient de sortir du sandbox de Cursor via un prompt injecté, sans clic ni validation
- Les deux failles sont notées 9,8/10 en CVSS v3 et corrigées dans Cursor 3.0, sorti le 2 avril 2026
- L’injection passe par des contenus lus par l’agent (source MCP ou page web) et débouche sur une exécution de code avec les droits de l’utilisateur
- Correctifs livrés en avril, identifiants CVE attribués le 5 juin et fiches publiées le 25 juin 2026
Deux chemins vers la même sortie du sandbox
Le premier scénario, CVE-2026-50548, exploite la gestion du paramètre working_directory de l’outil de terminal. Le sandbox autorise les écritures dans le répertoire de travail de la commande. Si l’agent pointe ce répertoire vers un chemin non standard, Cursor ajoute docilement ce chemin à la liste des emplacements autorisés. Un prompt injecté peut alors viser un fichier sensible hors du projet, jusqu’à écraser le composant de sandbox lui-même. Les commandes suivantes s’exécutent ensuite sans confinement.
Le second cas, CVE-2026-50549, repose sur une faiblesse dans la vérification des liens symboliques. Cursor tente de résoudre les symlinks avant d’autoriser une écriture. Quand cette vérification échoue, parce que le fichier ciblé n’existe pas encore ou qu’un accès est retiré sur un maillon du chemin, l’application retombe sur le chemin d’origine et lui fait confiance. Un attaquant peut alors faire écrire le système hors du périmètre du projet, avec le même résultat : sandbox neutralisé.
Dans les deux cas, le point d’entrée reste identique. Une instruction cachée dans une donnée que l’agent traite comme légitime. Une fois le confinement désactivé, la commande suivante tourne avec les droits de l’utilisateur. Les chercheurs évoquent un accès potentiel à la machine locale et aux services cloud ou SaaS où l’éditeur est connecté.
Patch en avril, CVE publiées en juin
La NVD indique que CVE-2026-50548 a été publiée le 25 juin 2026 et corrigée dans Cursor 3.0. Elle précise que la faille autorise une exécution de code à distance non confinée via l’écrasement du helper cursorsandbox, sans interaction au-delà d’un prompt anodin.
Le même jour, CVE-2026-50549 a reçu sa fiche, décrite comme critique et touchant les versions antérieures à la 3.0. Cato dit avoir signalé les problèmes le 26 février 2026, puis avoir vu Cursor rouvrir les rapports avant de livrer les correctifs dans la branche 3.0. Les identifiants CVE ont été attribués le 5 juin.
Aucune campagne d’exploitation active n’a été documentée dans les éléments repris ici : les informations renvoient à des travaux de recherche et à des correctifs déjà distribués. Le message pour les utilisateurs tient en une ligne : vérifier sa version et passer à Cursor 3.0 ou plus récent.
« L’attaque ne demande aucun clic ni aucune approbation. » (Cato AI Labs)
