Yapay zeka destekli geliştirme aracı Cursor'da keşfedilen yüksek önem dereceli bir güvenlik açığı, yüklenen eklentilerin kullanıcı etkileşimi olmadan hassas kimlik bilgilerine erişmesine olanak tanıyor. LayerX araştırmacılarına göre bu açık, API anahtarlarını ve oturum token'larını tehlikeye atabiliyor.
LayerX'in raporuna göre sorun, Cursor'un kimlik bilgilerini yerel olarak SQLite veritabanında saklamasından kaynaklanıyor. Bu veritabanı, işletim sistemi anahtarlıkları gibi standart koruma mekanizmalarıyla korunmuyor. Bu nedenle, herhangi bir eklenti, özel izinler istemese bile bu veritabanına doğrudan sorgu gönderebiliyor.
Saldırganlar, zararsız görünen bir eklenti (tema veya üretkenlik eklentisi gibi) oluşturarak bu açığı kullanabilir. Eklenti yüklendikten sonra, Cursor içinde kod çalıştırabilir ve yerel kimlik bilgilerine erişebilir. Ardından bu bilgiler sessizce dışarı sızdırılabilir.
Bu açığın etkileri Cursor ile sınırlı kalmıyor. Çalınan API anahtarları OpenAI, Anthropic ve Google gibi üçüncü taraf platformlara erişim sağlayarak yetkisiz kullanım, mali kayıp ve daha fazla saldırıya yol açabiliyor. Cursor, güvenlik sınırlarını belirlemenin kullanıcının sorumluluğu olduğunu belirtirken, sorun 28 Nisan 2026 itibarıyla hâlâ çözülmüş değil.
