DuneSlide: dos errors critics a Cursor permeten que un prompt injection escapi del sandbox i executi comandes sense clic ni aprovacio

Nota per a Eric: traduccio tecnica correcta, es recomana repas natiu abans de publicar donat el registre tecnic-empresarial del contingut.

‍

L'1 de juliol de 2026, Cato AI Labs va publicar la investigacio completa sobre DuneSlide, dues vulnerabilitats critiques d'execucio remota de codi (CVSS 9.8) a Cursor, l'editor de codi amb intel·ligencia artificial que, segons el seu propi fabricant, utilitza mes de la meitat de les empreses del Fortune 500. El mes alarmant de DuneSlide no es nomes la severitat tecnica, sino l'absencia total d'interaccio humana necessaria per explotar-la: no hi ha cap enllac on fer clic, cap quadre d'aprovacio a ignorar. L'atac s'activa quan la propia victima fa una pregunta completament normal al seu assistent de codi, que sense saber-ho incorpora contingut controlat per un atacant des d'una font aparentment innocua, com un servidor MCP connectat o un resultat de cerca web enverinat. Tots dos errors, identificats com CVE-2026-50548 i CVE-2026-50549, ja estan pedacats a Cursor 3.0, publicat a l'abril de 2026, pero qualsevol versio anterior segueix exposada.

‍

Que se sap de DuneSlide?

• Naturalesa de l'error: dues vulnerabilitats independents que permeten escapar del sandbox d'execucio de comandes de Cursor.
• CVE-2026-50548: abusa d'un parametre opcional anomenat working_directory a l'eina run_terminal_cmd de Cursor. Un prompt injection pot dirigir aquest parametre cap a una ruta del sistema fora del projecte, incloent el propi binari del sandbox.
• CVE-2026-50549: explota un error a la logica de resolucio de rutes de Cursor mitjancant enllacos simbolics.
• Zero interaccio de l'usuari requerida: l'exploit no requereix privilegis previs ni una accio deliberada especifica.
• Impacte: sobreescriure el propi binari del sandbox converteix qualsevol comanda posterior en execucio sense restriccions.
• Cronologia: Cato va escalar la troballa el 26 de febrer de 2026. Cursor va publicar tots dos pedacos a la versio 3.0. Els identificadors CVE es van assignar el 5 de juny.
• Quart incident de la mateixa familia: precedit per CurXecute, MCPoison i un hook de Git manipulat.

‍

Per que Cursor i els editors de codi amb IA son un objectiu d'alt valor

1. L'agent d'IA te permisos d'execucio reals sobre el sistema del desenvolupador.
2. Les fonts de context de l'agent son mes amplies que les del propi desenvolupador.
3. L'endpoint del desenvolupador es la porta d'entrada a la infraestructura empresarial.

‍

Com es produeixen aquest tipus d'atacs

1. L'atacant planta instruccions ocultes en una font que l'agent de Cursor consultara.
2. El desenvolupador fa una peticio completament normal al seu assistent de codi.
3. L'agent d'IA incorpora sense saber-ho el contingut malicios.
4. El prompt injection dirigeix l'agent a modificar working_directory o crear un enllac simbolic malicios.
5. Cursor confia en la ruta manipulada i escriu fora dels limits del sandbox.
6. Les comandes posteriors s'executen sense cap restriccio.

‍

Lliçons clau per a empreses i directius amb equips de desenvolupament

• Actualitzar a Cursor 3.0 o superior immediatament.
• Auditar quines fonts de context extern pot consultar l'agent de codificacio.
• Tractar el sandbox com una capa de defensa, no com l'unica proteccio.
• No assumir que altres agents de codificacio amb IA estan lliures d'aquest patro.
• Limitar els permisos de les credencials accessibles des de l'entorn de desenvolupament.

‍

La ciberseguretat com a prioritat estrategica

DuneSlide es la quarta vulnerabilitat d'aquest tipus documentada a Cursor des d'agost de 2025. El patro es consistent amb el que el blog d'Apolo ha documentat durant tot el mes de juny: el NCSC britanic advertint sobre els riscos del codi generat sense supervisio, i Cordyceps demostrant que els propis pipelines de CI/CD son vulnerables.

‍

Apolo Cybersecurity: auditoria de seguretat d'agents de codificacio amb IA

A Apolo Cybersecurity ajudem organitzacions a avaluar el risc de les seves eines de desenvolupament assistides per IA: verificacio de l'estat d'actualitzacio d'editors com Cursor, auditoria de les connexions MCP, disseny de controls de xarxa complementaris al sandboxing natiu, i avaluacio de l'abast de credencials accessibles des dels entorns de desenvolupament.

‍