Falhas Críticas do DuneSlide no Cursor IDE Permitem que Prompt Injection Contorne o Sandbox

Pesquisadores de segurança da Cato Networks divulgaram duas vulnerabilidades críticas de execução remota de código no Cursor, o editor de código com inteligência artificial usado por mais da metade das empresas da Fortune 500, que podiam ser acionadas sem qualquer interação do usuário. Batizadas de "DuneSlide" e registradas como CVE-2026-50548 e CVE-2026-50549, ambas as falhas possuem a pontuação máxima de gravidade 9.8 na escala CVSS e foram corrigidas no Cursor 3.0, lançado em 2 de abril de 2026.

O que torna o DuneSlide incomum é o vetor de ataque: nenhuma das vulnerabilidades exige que o desenvolvedor clique em um link malicioso, abra um arquivo suspeito ou conceda permissões elevadas. Ambas são acionadas por meio de prompt injection com zero cliques — o desenvolvedor simplesmente faz uma pergunta comum de codificação ao agente de IA do Cursor, e o agente, enquanto pesquisa a resposta, ingere conteúdo controlado pelo atacante de uma fonte não confiável, como uma resposta de servidor MCP ou um resultado de pesquisa web envenenado. Esse conteúdo contém instruções ocultas que o agente de IA segue sem que o desenvolvedor jamais as veja.

A primeira falha, CVE-2026-50548, explora como o sandbox do Cursor constrói suas permissões de gravação. O parâmetro working_directory passado para a ferramenta run_terminal_cmd do Cursor é controlado pelo próprio LLM, em vez de ser fixado pela aplicação, e o sandbox do Cursor adiciona cegamente qualquer caminho especificado pelo LLM à sua lista de gravação permitida. Uma injeção de prompt pode direcionar o agente a definir esse parâmetro para um caminho fora da raiz do projeto, concedendo acesso de gravação a locais sensíveis do sistema — incluindo o binário auxiliar cursorsandbox que impõe o sandbox em primeiro lugar.

A segunda falha, CVE-2026-50549, é um bug independente na lógica de resolução de caminhos do Cursor. Quando o Cursor tenta canonicalizar um caminho de arquivo e essa canonicalização falha — por exemplo, porque o alvo ainda não existe ou não tem permissões de leitura — o editor recorre à confiança no caminho original não validado. Uma injeção de prompt pode direcionar o agente a criar um symlink dentro do diretório do projeto que aponte para um arquivo protegido fora dele, e o comportamento de fallback do Cursor permite que a gravação prossiga através do symlink.

Encadeadas, qualquer uma das vulnerabilidades permite que um atacante sobrescreva o próprio binário cursorsandbox, convertendo o que deveria ser uma execução de comando em sandbox em execução remota de código completa e sem sandbox na máquina do desenvolvedor — e, por extensão, em qualquer workspace SaaS ou sistema de CI conectado ao qual as credenciais do desenvolvedor possam acessar.

O Cato AI Labs, liderado pelo pesquisador Itay Ravia, reportou as vulnerabilidades ao desenvolvedor do Cursor, Anysphere, em 19 de fevereiro de 2026. De acordo com a linha do tempo de divulgação da Cato, o relato inicial foi rejeitado em 23 de fevereiro antes de ser escalado para a equipe de segurança do Cursor em 26 de fevereiro. A correção do diretório de trabalho foi confirmada para o lançamento do Cursor 3.0 em 1º de abril, a correção do symlink foi enviada em 1º de junho, e os identificadores CVE foram formalmente atribuídos em 5 de junho — quase quatro meses após o relato inicial.

DuneSlide é o mais recente de uma categoria crescente de vulnerabilidades específicas para agentes de codificação de IA, onde a superfície de ataque se estende além das falhas tradicionais de software para o processo de raciocínio da própria IA. Como as ferramentas de codificação agênticas são projetadas para ler conteúdo web de forma autônoma, consultar servidores externos via MCP e executar comandos em nome do desenvolvedor, qualquer conteúdo que o agente ingira durante a operação normal se torna um vetor potencial de injeção — um modelo de ameaça fundamentalmente diferente do roubo de credenciais ou ataques à cadeia de suprimentos de software que dominaram a segurança de ferramentas de desenvolvimento até hoje.

Todas as versões do Cursor anteriores à 3.0 são afetadas. Desenvolvedores e organizações que ainda utilizam uma versão antiga devem atualizar imediatamente; a Cato Networks não encontrou evidências de exploração ativa na natureza antes da divulgação, mas o relatório técnico torna ambas as vulnerabilidades diretas de serem armadas agora que os detalhes são públicos.

Conforme divulgado inicialmente pela Cato Networks e pelo The Hacker News, a revelação destaca um desafio mais amplo do setor: à medida que os assistentes de codificação de IA ganham mais autonomia para navegar, buscar e executar em nome do desenvolvedor, as equipes de segurança precisam de modelos de ameaça que considerem o próprio agente de IA como uma superfície de ataque, não apenas o código que ele produz.