近日，在cursor ai代码编辑器中发现一个远程代码执行（rce）漏洞，该漏洞会导致恶意代码仓库在被打开时，直接在用户本地机器上运行任意代码。研究团队指出，该漏洞利用了编辑器的默认配置设定，成功绕过了常规的安全确认提示。

此漏洞的核心在于：Cursor默认将“工作区信任”（Workspace Trust）功能设为禁用状态。而在VS Code中，这一安全机制正是用于阻止未经验证的代码自动执行的关键防线。一旦该功能被关闭，攻击者便可构造一个包含特制 .vscode/tasks.json 文件的恶意仓库。通过将 runOptions.runOn 参数设为 "folderOpen"，当开发者在Cursor中打开该文件夹时，任务配置中定义的任意命令都将被无提示地执行。

这意味着——原本看似安全、日常的“打开项目”操作，可能瞬间演变为在用户受信任环境中静默执行恶意逻辑的过程，全程不触发任何警告或授权弹窗。借助该漏洞，攻击者可窃取敏感凭证、篡改本地文件，甚至建立与C2（命令与控制）服务器的持久连接。由于开发人员设备通常保存着高权限访问密钥（如云API密钥、个人访问令牌PAT、活跃SaaS会话），此类入侵极具破坏性。一旦攻陷一台开发机，攻击者即可迅速获取组织内最核心的身份凭证。

威胁范围远不止于单台终端。获得初始访问权限后，攻击者极有可能沿CI/CD流水线、云环境等路径横向移动。更严峻的是，这类渗透常导致非人类身份（例如服务账户、工作负载身份）被劫持——而这些身份在企业基础设施中普遍拥有跨系统、高权限的广泛访问能力。一个伪装成开源项目的恶意仓库，就足以触发连锁式安全灾难。

目前，所有使用默认配置的Cursor用户均处于直接风险之中；相比之下，启用了“工作区信任”的标准Visual Studio Code用户则具备天然防护层——该功能会强制阻断自动任务执行，直至用户主动对当前工作区授予明确信任。

挖错网

一款支持文本、图片、视频纠错和AIGC检测的内容审核校对平台。

185 查看详情

对此，Cursor官方回应称，用户可通过手动启用“工作区信任”功能进行缓解，并表示更新版安全实践指南即将发布。研究团队亦已向Cursor开发团队提交了即时加固建议。

✅ 推荐用户立即采取以下措施：

• 在Cursor中启用 “工作区信任” 功能，并设置为启动时提示；
• 将 task.allowAutomaticTasks 选项显式设为 “off”；
• 对所有来源不明或未经验证的代码仓库，务必在隔离环境中打开（例如一次性Docker容器、专用虚拟机等），以杜绝潜在的未授权代码执行风险。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 免费无限量使用 DeepSeek R1 模型☜☜☜

以上就是Cursor AI代码编辑器RCE漏洞风险大，用户如何防范？的详细内容，更多请关注其它相关文章！

# 估值  # 大鹏百度关键词排名  # 狗叫翻译网站建设需要  # 山西软文营销推广是什么  # 嘉兴软文营销推广价格  # 如皋市网站优化公司  # 百度怎样免费营销推广呢  # 福州搜索关键词排名团购  # 安徽大网站建设  # seo步骤  # 海淀短视频seo优化  # 这一  # 老黄  # 的是  # 越做越  # cursor  # 数千  # 谁能  # 独角兽  # 编辑器  # 设为  # udio  # vs code  # ai  # 虚拟机  # docker  # json  # js  # vscode 

相关栏目： 【 行业资讯67740 】 【 技术百科0 】 【 网络运营39195 】

相关推荐： typescript掌握哪些可以做项目  苹果16如何预购  win10锁屏壁纸怎么换360锁屏壁纸吗  对应市盈率是30X是什么意思  阿里云手机云盘怎么用_阿里云盘苹果手机怎么用教程  怎么把手机里爱奇艺的视频下载到u盘里  单片机是怎么复位的  电动车power灯亮红灯是什么意思  满射为什么没有逆映射  2025年哪个局域网聊天软件好用  openwrt有哪些功能  如何利用固态硬盘  如何查看网站域名解析  openwrt有什么用  苹果16主打颜色有哪些  typescript入门要多久  交管12123协议头不完整是啥意思  科技型企业成长＂十步法＂  360f4怎么取消百变壁纸  debian10和ubuntu20哪个好用  如何修改域名解析  苹果16会升级哪些  苹果16配置参数有哪些  如何以命令符运行程序  电瓶车的power是什么意思  空调power灯一直闪是什么意思  电脑type-c接口是什么意思  单片机怎么做组合  typescript怎么拼接  对象数组怎么用j*a  youtube受限模式是什么_youtube受限模式是什么意思  meet是什么意思  单片机软件keil怎么运行  j*a数组怎么放字符  typescript如何定义变量  虚拟机如何用命令清除垃圾  夸克前缀后缀什么意思啊  typescript什么意思  夸克是什么空间单位  路由器power灯一直亮是什么意思  自己如何加装固态硬盘  哪里要用typescript  市盈率动亏损是什么意思  哪些库是typescript  vivo怎么投屏到电视看爱奇艺教程  跨境电商gmv是什么意思?跨境电商GMV：理解其含义、计算方法和影响因素  苹果16更新了哪些功能  春运辅助抢票怎么抢  远程桌面如何发送命令  oppo手机nfc功能是什么意思