Una vulnerabilidad en Cursor, un editor de código basado en IA, permite que un repositorio clonado con un archivo git.exe malicioso en su raíz ejecute código arbitrario en Windows sin interacción del usuario. Reportada por Mindgard en diciembre de 2025, la falla aún no tiene parche ni CVE asignado. La empresa de seguridad publicó detalles técnicos el martes, siete meses después. Cursor no ha emitido ningún aviso, y la falla persiste en la versión más reciente probada. Como solución temporal, se recomienda usar máquinas virtuales o AppLocker para bloquear ejecutables en raíces de proyectos.
Un problema de confianza en el workspace
Al abrir un repositorio en Cursor en Windows, si existe un archivo llamado git.exe en la raíz del proyecto, Cursor lo ejecuta sin preguntar. El binario se ejecuta con los privilegios del usuario, pudiendo acceder a código fuente, llaves SSH y tokens en la nube. La ejecución continúa mientras el proyecto esté abierto. No se requiere inyección de prompts ni acceso previo al sistema: abrir la carpeta es suficiente para lograr ejecución de código arbitrario.
El mecanismo de la falla
Cursor verifica varias ubicaciones en busca de un binario Git al cargar un proyecto, incluyendo el propio workspace. Las trazas de Process Monitor muestran que Cursor.exe ejecuta el binario malicioso con el comando "git rev-parse –show-toplevel". La prueba de concepto de Mindgard consistió en renombrar la Calculadora de Windows a git.exe y subirla a un repositorio. Al clonarlo y abrirlo, aparecían múltiples ventanas de la Calculadora automáticamente.
Respuesta del fabricante
Mindgard reportó el fallo a Cursor el 15 de diciembre de 2025. La primera respuesta sustancial llegó un mes después, del CISO de Cursor, alegando que un fallo de automatización impidió la invitación al programa HackerOne. El reporte fue cerrado como informativo y fuera de alcance, pero se reabrió tras la insistencia de Mindgard. HackerOne confirmó la entrega el 20 de enero. Hasta la fecha, Cursor no ha publicado parche ni aviso de seguridad. La última confirmación de Mindgard data del 30 de abril de 2026 contra Cursor 3.2.16; la versión actual es 3.11, lanzada el 10 de julio.
Recomendaciones
No hay parche, por lo que todas las opciones son workarounds. En entornos Windows gestionados, Mindgard sugiere usar AppLocker o Windows App Control para bloquear ejecutables por nombre y ruta bajo raíces de workspace, por ejemplo: %USERPROFILE%sourcerepos*git.exe.
Se recomienda abrir repositorios no confiables en máquinas virtuales desechables o Windows Sandbox. Además, verificar repositorios clonados o archivos extraídos antes de abrirlos: archivos como git.exe, npx.exe, node.exe o where.exe no deberían estar en la raíz del proyecto.
Antecedentes similares en otros productos
Mindgard no es la primera en encontrar esta falla. En junio, Cymulate publicó hallazgos similares en GitHub Copilot CLI, Gemini CLI y Codex desktop app: todas ejecutaban un git.exe malicioso en el workspace al iniciar. Ninguna de esas empresas había lanzado un parche al momento del informe. Solo AWS asignó un CVE (CVE-2026-10591) para Kiro, pero por una falla diferente. El problema de ruta de búsqueda no confiable ya se había visto en 2020 con Git Credential Manager Core (CVE-2020-26233).
Deja una respuesta