CVE-2026-63093
Publiée le 2026-07-17 · Dernière modification le 2026-10-24
Cursor pour Windows (version 3.2.16) est susceptible de permettre l'exécution de code arbitraire si vous clonez et ouvrez un dépôt git spécialement conçu à cet effet. Un attaquant peut y parvenir en plaçant un fichier `git.exe` malveillant dans le répertoire racine du dépôt, que l'IDE exécute ensuite automatiquement avec vos privilèges d'utilisateur au démarrage. Cette attaque ne nécessite aucune authentification ni interaction supplémentaire, au-delà de l'action initiale d'ouvrir le projet malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Cursor for Windows version 3.2.16 contains a binary planting vulnerability that allows remote attackers to achieve arbitrary code execution by placing a malicious git.exe file in the repository root directory. When a developer clones and opens a crafted repository, Cursor automatically resolves and executes the workspace-resident git.exe during IDE startup and on a recurring timed cadence without any user interaction, running the malicious binary under the privileges of the current user.