Se han detectado dos vulnerabilidades críticas de ejecución remota de código (RCE), denominadas "DuneSlide", en Cursor IDE, el entorno de desarrollo basado en IA utilizado por más de la mitad de las empresas Fortune 500. Estos fallos, identificados como CVE-2026-50548 y CVE-2026-50549, cuentan con una puntuación de severidad CVSS de 9.8, lo que permite a los atacantes ejecutar código de forma remota.

Dos vulnerabilidades críticas de ejecución remota de código (RCE) en Cursor IDE, el entorno de desarrollo impulsado por IA utilizado por más de la mitad de las empresas Fortune 500.

Cato AI Labs ha revelado dos fallos, apodados "DuneSlide", ambos con una puntuación de severidad CVSS de 9.8 y asignados a los códigos CVE-2026-50548 y CVE-2026-50549, que permiten a los atacantes saltarse completamente el sandbox de Cursor.

Las vulnerabilidades demuestran que los ataques de inyección de prompts pueden extenderse más allá de la manipulación de la salida de un LLM y llegar a rutas de código clásicas que nunca antes se habían considerado parte de la superficie de ataque.

La explotación permite que un actor de amenazas sobrescriba archivos críticos del sistema, como el binario cursorsandbox, convirtiendo los comandos de la terminal restringida en un RCE totalmente libre, comprometiendo tanto la máquina local como los espacios de trabajo SaaS conectados.

Ambos errores se activan sin necesidad de privilegios de usuario ni interacción deliberada; solo necesitas emitir un prompt inocuo que ingiera inadvertidamente contenido controlado por el atacante desde una fuente no confiable, como la respuesta de un servidor MCP o un resultado de búsqueda web envenenado.

Cursor 2.x ejecuta automáticamente los comandos de la terminal del agente dentro de un sandbox, sin solicitar aprobación, un diseño destinado a reducir la fatiga del usuario al aprobar mientras limita hasta dónde puede escalar una simple inyección de prompt.

Vulnerabilidad #1: Manipulación del Directorio de Trabajo

El CVE-2026-50548 se deriva de cómo el sandbox de Cursor concede acceso de escritura al directorio de trabajo de un comando. Debido a que working_directory es un parámetro opcional controlado por el LLM de la herramienta run_terminal_cmd, una inyección de prompt puede dirigir al agente para configurarlo en una ruta elegida por el atacante fuera de la raíz del proyecto.

Esto permite al atacante escribir en ubicaciones sensibles, incluyendo el ayudante cursorsandbox en /Applications/Cursor.app/Contents/Resources/app/resources/helpers/cursorsandbox, o archivos como ~/.zshrc y ~/Library/LaunchAgents, neutralizando las restricciones del sandbox para los comandos posteriores en la misma inyección.

Vulnerabilidad #2: Evasión de la Canonicalización de Enlaces Simbólicos (Symlink)

El CVE-2026-50549 es un fallo independiente en la lógica de resolución de rutas de Cursor. Una inyección de prompt puede dirigir al agente a crear un enlace simbólico dentro del directorio del proyecto que apunte a un archivo externo; cuando el paso de canonicalización de Cursor falla (por ejemplo, porque el objetivo no existe o carece de permisos de lectura), el agente vuelve a confiar en la ruta original del enlace simbólico no validada.

Esto evade las comprobaciones de escritura fuera de los límites, permitiendo que los atacantes sobrescriban el mismo ayudante cursorsandbox a través del enlace simbólico y logren un RCE privilegiado sin ninguna interacción del usuario.

DuneSlide subraya que el sandbox por sí solo no puede contener a los agentes de codificación autónomos cuando la validación de parámetros y los casos límite de resolución de rutas siguen siendo explotables mediante la inyección de prompts.

Cato AI Labs afirma que continúa con la divulgación responsable en otros agentes de codificación populares, señalando que se necesitan defensas sistémicas a nivel de arquitectura, y no parches aislados, para asegurar las herramientas de desarrollo impulsadas por IA.

Fuentes:
https://cybersecuritynews.com/cursor-ide-rce-vulnerabilities/