L’attaque repose sur de l’ingénierie sociale combinée à une faiblesse du système de deeplinks de Cursor. Un développeur reçoit un lien piégé (par email, Slack, GitHub, etc.), qui déclenche une série de pop-ups d’autorisation dans l’IDE. Les utilisateurs sont tellement conditionnés à valider ces fenêtres qu’ils cliquent sans réfléchir, ouvrant la porte aux attaquants.
Baptisée « CursorJack », cette faille permet à des cybercriminels d’exécuter du code malveillant ou d’installer des serveurs MCP corrompus via des deeplinks piégés.
Voici les points essentiels de la recherche :
Les développeurs sont des cibles de choix : accès privilégié au code source, identifiants sensibles, possibilité de mouvements latéraux dans les réseaux d’entreprise
L’attaque exploite l’habitude des utilisateurs à valider des pop-ups d’autorisation, rendant l’ingénierie sociale particulièrement efficace
Lec chercheurs Proofpoint ont réalisé une PoC avec un reverse shell Meterpreter, démontrant la gravité de la menace
Cursor considère cette vulnérabilité « hors périmètre », posant la question de la responsabilité des éditeurs d’outils d’IA
Selon les chercheurs Proofpoint, « Les deeplinks provenant de sources non fiables doivent être traités avec la même prudence que les exécutables non fiables. Les flux d’approbation doivent intégrer des avertissements de sécurité granulaires et une vérification de la source pour aider les utilisateurs à distinguer les deeplinks provenant de sources fiables et non fiables. »
