Kritische DuneSlide-Sicherheitslücken in der Cursor-IDE erlauben Prompt-Injection-Ausbruch aus der Sandbox

Sicherheitsforscher von Cato Networks haben zwei kritische Remote-Code-Ausführungslücken in Cursor, dem KI-gestützten Code-Editor, der von mehr als der Hälfte der Fortune-500-Unternehmen genutzt wird, offengelegt. Diese Lücken konnten ohne jegliche Benutzerinteraktion ausgelöst werden. Die als „DuneSlide“ bezeichneten und unter CVE-2026-50548 sowie CVE-2026-50549 geführten Schwachstellen haben den maximalen Schweregrad von 9,8 nach CVSS und wurden in Cursor 3.0, veröffentlicht am 2. April 2026, behoben.

Was DuneSlide ungewöhnlich macht, ist der Angriffsvektor: Keine der beiden Schwachstellen erfordert, dass ein Entwickler auf einen bösartigen Link klickt, eine verdächtige Datei öffnet oder erweiterte Berechtigungen gewährt. Beide werden durch Zero-Click-Prompt-Injection ausgelöst – ein Entwickler stellt dem KI-Agenten von Cursor lediglich eine gewöhnliche Programmierfrage, und der Agent nimmt während der Recherche nach der Antwort von einem Angreifer kontrollierte Inhalte aus einer nicht vertrauenswürdigen Quelle auf, wie etwa einer MCP-Server-Antwort oder einem vergifteten Websuchergebnis. Diese Inhalte enthalten versteckte Anweisungen, die der KI-Agent befolgt, ohne dass der Entwickler sie jemals sieht.

Die erste Schwachstelle, CVE-2026-50548, nutzt aus, wie die Sandbox von Cursor ihre Schreibberechtigungen konstruiert. Der Parameter working_directory, der an das Tool run_terminal_cmd von Cursor übergeben wird, wird vom LLM selbst gesteuert und nicht von der Anwendung festgelegt. Die Sandbox von Cursor fügt blind jeden Pfad, den das LLM angibt, zur Liste der erlaubten Schreibpfade hinzu. Eine Prompt-Injection kann den Agenten dazu verleiten, diesen Parameter auf einen Pfad außerhalb des Projektverzeichnisses zu setzen, wodurch Schreibzugriff auf sensible Systempfade gewährt wird – einschließlich der Hilfsbinärdatei cursorsandbox, die die Sandbox überhaupt erst erzwingt.

Die zweite Schwachstelle, CVE-2026-50549, ist ein eigenständiger Fehler in der Pfadauflösungslogik von Cursor. Wenn Cursor versucht, einen Dateipfad zu kanonisieren und diese Kanonisierung fehlschlägt – beispielsweise weil das Ziel noch nicht existiert oder keine Leserechte hat –, vertraut der Editor wieder dem ursprünglichen, nicht validierten Pfad. Eine Prompt-Injection kann den Agenten anweisen, innerhalb des Projektverzeichnisses einen Symlink zu erstellen, der auf eine geschützte Datei außerhalb verweist, und das Fallback-Verhalten von Cursor erlaubt den Schreibvorgang über den Symlink.

In Kombination ermöglicht jede der beiden Schwachstellen einem Angreifer, die Binärdatei cursorsandbox selbst zu überschreiben und so eine eigentlich sandboxierte Befehlsausführung in eine vollständige, nicht sandboxierte Remote-Code-Ausführung auf dem Entwicklerrechner zu verwandeln – und damit auch auf jedem verbundenen SaaS-Arbeitsplatz oder CI-System, das die Anmeldedaten des Entwicklers erreichen können.

Die Cato AI Labs unter der Leitung des Forschers Itay Ravia meldeten die Schwachstellen am 19. Februar 2026 an den Entwickler von Cursor, Anysphere. Laut Cato's Offenlegungszeitplan wurde der erste Bericht am 23. Februar abgelehnt, bevor er am 26. Februar an das Sicherheitsteam von Cursor eskaliert wurde. Der Fix für das Arbeitsverzeichnis wurde für das Cursor-3.0-Release am 1. April bestätigt, der Symlink-Fix wurde am 1. Juni ausgeliefert, und die CVE-IDs wurden am 5. Juni offiziell zugewiesen – fast vier Monate nach dem ersten Bericht.

DuneSlide ist die neueste in einer wachsenden Kategorie von Schwachstellen, die spezifisch für KI-Codierungsagenten sind, bei denen die Angriffsfläche über traditionelle Softwarefehler hinaus in den Denkprozess der KI selbst reicht. Da agentische Codierungswerkzeuge dazu entwickelt wurden, autonom Webinhalte zu lesen, externe Server über MCP abzufragen und Befehle im Namen des Entwicklers auszuführen, wird jeder Inhalt, den der Agent während des normalen Betriebs aufnimmt, zu einem potenziellen Injektionsvektor – ein grundlegend anderes Bedrohungsmodell als die Anmeldedaten-Diebstahl- oder Software-Lieferkettenangriffe, die die Sicherheit von Entwicklerwerkzeugen bisher dominiert haben.

Jede Version von Cursor vor 3.0 ist betroffen. Entwickler und Organisationen, die noch eine ältere Version verwenden, sollten sofort aktualisieren; Cato Networks fand keine Hinweise auf aktive Ausnutzung in freier Wildbahn vor der Offenlegung, aber die technische Beschreibung macht es nun, da die Details öffentlich sind, einfach, beide Schwachstellen zu bewaffnen.

Wie zuerst von Cato Networks und The Hacker News berichtet, unterstreicht die Offenlegung eine breitere Branchenherausforderung: Da KI-Codierungsassistenten mehr Autonomie erhalten, um im Namen eines Entwicklers zu surfen, abzurufen und auszuführen, benötigen Sicherheitsteams Bedrohungsmodelle, die den KI-Agenten selbst als Angriffsfläche berücksichtigen, nicht nur den von ihm erzeugten Code.