Cursor IDE attire l’attention des chercheurs de Cato AI Labs après l’analyse de DuneSlide. Leur rapport décrit deux vulnérabilités critiques touchant les garde-fous de l’outil.
Le piège tient à une consigne injectée depuis une source externe, sans clic de votre part. Une réponse issue d’un serveur MCP ou du Web peut alors déclencher une exécution de code à distance, puis mener à la compromission de la machine du développeur, malgré le sandbox annoncé. L’éditeur écrit, le système obéit.
Deux failles critiques signalées dans l’environnement de développement
Le rapport met en cause Cursor IDE, un environnement où les assistants IA interviennent au cœur du code et des commandes locales. Les chercheurs de Cato AI Labs y décrivent DuneSlide, un duo de vulnérabilités exposant la machine du développeur à une exécution de code à distance.
Le classement public donne deux références distinctes à ce dossier. Les failles sont suivies sous CVE-2026-50548 et CVE-2026-50549, avec un risque dépassant la simple fuite de données. Cato Networks dit avoir appliqué une divulgation responsable afin de documenter l’impact technique et la chaîne d’exploitation.
Une attaque zero-click depuis une source externe piégée
Le scénario décrit ne suppose aucun clic du développeur, ce qui rend la chaîne d’attaque très discrète. Une instruction malveillante peut arriver depuis une source non fiable, puis être interprétée par l’agent IA comme une consigne légitime au sein du projet.
Les canaux cités par Cato collent aux usages réels des développeurs. Un serveur MCP piégé ou un résultat de recherche web empoisonné peut transporter la charge, avant que Cursor ne la transforme en actions locales, sans validation visible de votre part.
Le sandbox de Cursor mis en échec par l’écriture de fichiers système
La barrière d’isolation prévue par Cursor devait contenir les opérations risquées dans un espace contrôlé. Selon Cato, DuneSlide parvient à provoquer un contournement du sandbox en abusant de paramètres d’exécution et d’erreurs dans la résolution des chemins.
L’attaque gagne en portée lorsque l’IDE écrit au mauvais endroit sur la machine hôte. Des liens symboliques peuvent détourner l’écriture vers des fichiers système critiques, avec un effet direct sur les protections locales, les dépôts ouverts et les services SaaS raccordés à l’environnement de travail.
La divulgation coordonnée confirme la gravité des vulnérabilités
La chronologie publiée par Cato Networks détaille une procédure de signalement sur plusieurs mois. Le 19 février, les chercheurs ont transmis leurs observations à Cursor ; après un rejet le 23 février, le dossier a été renvoyé le 26 février vers l’équipe sécurité.
La suite donne une mesure précise de la prise en charge. Le 2 avril, Cursor a confirmé une correction intégrée aux correctifs de Cursor 3.0 pour la première faille, puis le 1er juin pour celle liée aux liens symboliques. Le 5 juin, l’attribution des CVE a fixé le suivi public, signal fort pour les agents de développement IA.
