Popüler AI kod editörü Cursor'da keşfedilen iki güvenlik açığı, sıradan görünen bir istemin editörün güvenlik sandbox'ını aşarak geliştiricinin bilgisayarında herhangi bir komutu çalıştırmasına olanak tanıyor. Cato AI Labs tarafından DuneSlide adı verilen bu açıklar, kullanıcıdan herhangi bir tıklama veya onay gerektirmemesi nedeniyle 'sıfır tıklamalı' saldırı olarak sınıflandırılıyor. CVE-2026-50548 ve CVE-2026-50549 olarak izlenen açıklar, 10 üzerinden 9,8 puanla kritik seviyede değerlendiriliyor.
Cursor 2.x sürümlerinde varsayılan olarak etkin olan sandbox, AI ajanının terminal komutlarını kısıtlayarak zararlı talimatların sisteme zarar vermesini engelliyor. DuneSlide saldırısı ise prompt enjeksiyonu yoluyla bu sandbox'ı aşmayı hedefliyor. Saldırgan, geliştiricinin kullandığı MCP protokolü veya web araması gibi kaynaklara kötü amaçlı talimatlar yerleştirerek, Cursor'un sandbox'ı devre dışı bırakmasını sağlıyor. İlk açık (CVE-2026-50548), sandbox'ın çalışma dizini parametresini suiistimal ederek sistem dosyalarının üzerine yazılmasına izin veriyor. İkinci açık (CVE-2026-50549) ise sembolik bağlantı kontrolündeki bir hatadan yararlanarak sandbox yardımcısının üzerine yazılmasını sağlıyor.
Her iki açık da aynı hedefe ulaşıyor: sandbox'ı devre dışı bırakmak. Sandbox etkisiz hale getirildikten sonra, sonraki tüm komutlar geliştiricinin yetkileriyle çalışıyor. Bu da geliştiricinin bilgisayarının tam kontrolü ve editörün bağlı olduğu tüm bulut hizmetlerine erişim anlamına geliyor. Cursor'un üreticisi, Fortune 500 şirketlerinin yarısından fazlasının bu aracı kullandığını belirterek, kullanıcıları acilen Cursor 3.0'a güncellemeye çağırıyor. Açıkların henüz gerçek saldırılarda kullanıldığına dair bir kanıt bulunmamakla birlikte, Cato AI Labs bunu araştırma amaçlı olarak sundu.
DuneSlide, Cursor'da keşfedilen ve prompt enjeksiyonu ile başlayıp kod çalıştırmayla sonuçlanan güvenlik açıkları serisinin en son halkası. Daha önce CurXecute (CVE-2025-54135), MCPoison (CVE-2025-54136) ve CVE-2026-26268 gibi açıklar da benzer yöntemler kullanıyordu. Cato AI Labs, bu tür açıkların diğer kod ajanlarında da bulunduğunu ve sorunun yapısal olduğunu savunuyor. Bu durum, AI ajanlarının her girdiyi düşman olarak kabul eden bir güvenlik modeline geçmesi gerektiğini gösteriyor.
