Cursor AI 代码编辑器 RCE 漏洞，恶意软件自动运行风险巨大！

---

近日，在cursor ai代码编辑器中发现一个远程代码执行（rce）漏洞，该漏洞会使恶意软件“自动运行”。当恶意代码存储库被打开时，此漏洞可让代码在用户机器上运行。

研究团队发现，该漏洞利用了这款流行编辑器的默认配置设置，绕过了典型的用户同意提示。其核心问题在于，Cursor默认的“工作区信任”功能处于禁用状态。在VS Code中，这项安全设置的作用是防止不受信任的代码自动执行。而Cursor关闭此功能后，攻击者就能构建一个包含特殊配置.vscode/tasks.json文件的恶意代码存储库。通过将runOptions.runOn参数设置为“folderOpen”，开发人员在Cursor中打开项目文件夹时，任务文件里的任何命令都会执行。

这一漏洞会把看似平常的操作，变成在用户安全上下文中静默执行代码的过程，且不会有任何警告或信任提示。攻击者可借此漏洞窃取敏感信息、修改本地文件，或者与命令与控制服务器建立连接。开发人员的计算机通常存有高权限凭证，入侵他们的笔记本电脑，攻击者能立刻获取云API密钥、个人访问令牌（PAT）和活跃的SaaS会话。

危险还不止于此。攻击者一旦获得最初的立足点，就可能转向连接的CI/CD管道和云基础设施。这种横向移动可能导致非人类身份（如服务账户）的泄露，而这些身份在整个组织环境中往往拥有广泛且强大的权限。也就是说，一个被埋设陷阱的存储库，就可能引发大范围的安全事件。

AI Word

一款强大的 AI 智能内容创作平台，致力于帮助用户高效生成高质量、原创且符合 SEO 规范的各类文章。

226 查看详情

运行默认配置的Cursor用户会直接受到此漏洞的影响。与之不同的是，启用了“工作区信任”的标准Visual Studio Code用户，面临的风险相对较低。因为该功能会阻止自动任务执行，直到用户明确授予对项目文件夹的信任。

针对此漏洞披露，Cursor方面表示，用户可手动启用“工作区信任”，并且更新的安全指南将很快发布。研究团队也为开发团队提供了即时强化建议。

用户应在Cursor中启用“工作区信任”，要求启动时提示，还可考虑将task.allowAutomaticTasks选项设置为“关闭”。此外，建议在安全、隔离的环境（如一次性容器或虚拟机）中打开所有未知存储库，以此防止潜在的代码执行。

以上就是Cursor AI 代码编辑器 RCE 漏洞，恶意软件自动运行风险巨大！的详细内容，更多请关注其它相关文章！

# 对决  # 杭州推荐网站优化与推广  # 8月份营销推广建议  # 门窗网站seo优化渠道  # 临沂关键词seo  # 企业网站建设网页推广  # 合肥网站营销推广  # 嘉兴seo优化效果  # 农夫山泉的营销推广  # emlog优化seo  # seo排名赚会跑路吗  # 他们的  # 的是  # 恶意代码  # 工作流程  # 开发人员  # cursor  # 设置为  # 工作流  # 自动运行  # 编辑器  # udio  # vs code  # 笔记本电脑  # ai  # 虚拟机  # 电脑  # 计算机  # json  # js  # vscode 

相关栏目： 【 Google疑问12 】 【 Facebook疑问10 】 【 优化推广96088 】 【 技术知识133117 】 【 IDC资讯59369 】 【 网络运营7196 】 【 IT资讯61894 】

相关推荐： 游族AI创新院揭牌成立 推进AI赋能游戏业务  普林斯顿Infinigen矩阵开启！AI造物主100%创造大自然，逼真到炸裂  国宝级文物“铜兽驮跪坐人顶尊铜像”完成模拟拼接，腾讯AI立功  在心理治疗中用VR技术，治疗成效显著提高  马斯克发推讽刺人工智能，机器学习本质是统计？  闪电快讯|京东推出言犀AI大模型 面向零售、医疗、物流等产业场景  传字节内测对话式 AI 产品，代号「Grace」；马斯克嘲讽苹果 头显；比亚迪 F 品牌定名「方程豹」  华为昇腾AI原生支持30多种基础大模型，包括GPT  消息称字节机器人团队已有约50人，计划年底扩充到上百人  Moka AI产品后观察：HR SaaS迈进AGI时代  2025 WAIC｜美团无人机发布第四代新机型  为AI而服务设计：构建以人为本的AI创新方法  映宇宙数字人“映映”亮相ChinaJoy，展示AI黑科技实现用户互动  爱设计 AI 一键生成 PPT 工具上线：输入标题即可生成 PPT  一文看懂被英伟达看中的九号机器人移动底盘  12页线性代数笔记登GitHub热榜，还获得了Gilbert Strang大神亲笔题词  机器人加速！稀土永磁也被带火，持续性如何？  谷歌推出RT-2视觉语言动作模型，使机器人能够掌握垃圾丢弃技能  ChatGPT大更新！OpenAI奉上程序员大礼包：API新增杀手级能力还降价，新模型、四倍上下文都来了  零数科技CTO兰春嘉：区块链与人工智能的结合点在数据  腾讯机器狗进化：通过深度学习掌握自主决策能力  发布最新版本的 PICO OS 5.7.0：支持VR头盔录屏并跨平台分享至微信  AI 大模型重塑软件开发，有哪些落地前景和痛点？| ArchSummit  AI框架生态峰会本周开幕 华为昇腾“朋友圈”再聚首 全球首个全模态大模型将登场  懒人必备的家居清洁好物，石头自清洁扫拖机器人G20  人工智能在项目管理中的作用  中国联通推出“极光一号”5G机载终端，适配大疆等品牌无人机设备  令人震惊的特斯拉机器人  华为HarmonyOS 4将集|成人|工智能大型模型  利用AI探索抗体“钥匙”、加速药物研发——访百图生科团队  科技有狠活｜时光修复师 ：用AI让昨日重现  重磅！ 捷通华声灵云AICC荣获第二届光合组织AI解决方案大赛二等奖  人工智能的变革之路：通过OpenAI的GPT-4漫游  昇腾AI大模型训推一体化解决方案将在WAIC发布  WHEE安装教程  对艺术家拒绝置若罔闻，Stability AI 将推出适应多种画风的开源模型  上天下海登极，青岛与昇腾AI握手一起探索星辰大海  AIGC 风潮刮到游戏产业，巨人网络与阿里云达成“游戏 +AI ”合作  央视报道！星纪魅族集团车载人机交互技术成世界移动通信大会焦点  新华社联合北大发布AI大模型评测：安全可靠成重点，360智脑表现优异  能抓取玻璃碎片、水下透明物，清华提出通用型透明物体抓取框架，成功率极高  人形机器人概念大热！这些产业链标的或受提振  马斯克回应“人工智能让一切变得更好”：我们已经是半机器人了  亲身体验鸿蒙4：AI大模型带来的便利，告别单纯的旁观者状态  腾讯AI首次模拟拼接三星堆文物，工作取得阶段性的成果  马斯克称未来机器人数量将多于人类，特斯拉愿共享自动驾驶技术  张朝阳与陆川谈AI：ChatGPT是鹦鹉学舌思维，不可能取代人类 | 把脉AI大模型  上海发布大模型政策 打造AI“模”都  7/8上海 | 2025世界人工智能大会分论坛:科技与人文-共筑无障碍智能社会  特斯拉人形机器人将于 7 月亮相上海 2025 世界人工智能大会 

 2025-12-21