一、 漏洞 CVE-2025-54131 基础信息
漏洞信息
                                        # Cursor 允许列表绕过命令执行漏洞

## 概述

Cursor 是一款面向 AI 编程的代码编辑器。在版本 1.3 以下，存在一个安全漏洞，允许攻击者在自动运行模式下绕过白名单机制。

## 影响版本

所有低于 1.3 的版本均受影响。

## 细节

该漏洞允许攻击者通过使用反引号（`）或 $(cmd) 语法在自动运行模式下执行未授权的终端命令，即使用户已将 Cursor 从默认设置更改为使用白名单（无需每次批准终端调用）。该漏洞需结合间接提示注入（indirect prompt injection）才能被触发。

## 影响

攻击者可借此漏洞执行任意命令，绕过安全白名单限制，可能导致系统被非法控制或数据泄露。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Cursor bypasses its allow list to execute arbitrary commands
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Cursor is a code editor built for programming with AI. In versions below 1.3, an attacker can bypass the allow list in auto-run mode with a backtick (`) or $(cmd). If a user has swapped Cursor from its default settings (requiring approval for every terminal call) to an allowlist, an attacker can execute arbitrary command execution outside of the allowlist without user approval. An attacker can trigger this vulnerability if chained with indirect prompt injection. This is fixed in version 1.3.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
在命令中使用的特殊元素转义处理不恰当(命令注入)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-54131 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-54131 的情报信息
四、漏洞 CVE-2025-54131 的评论

暂无评论

发表评论