Cursor kjører ondsinnet git.exe fra repo-roten uten å spørre

Sikkerhetsselskapet Mindgard gikk 14. juli til full disclosure på et hull de meldte inn til Cursor 15. desember 2025. Legger en angriper en fil kalt git.exe i roten av et repo, kjører Cursor den automatisk som del av sitt eget path-oppslag når prosjektet åpnes. Det skjer uten advarsel, uten godkjenningsdialog, og uten at det vises noe sted at kjørbart innhold fra repoet er i ferd med å starte. Sårbarheten rammer Windows, og Mindgard bekreftet den senest 30. april i Cursor 3.2.16.

Det er ingen CVE og ingen patch. Ifølge Mindgard har rapporten stått uløst gjennom over 197 påfølgende Cursor-versjoner: HackerOne lukket den først som utenfor scope, gjenåpnet og bekreftet den, og deretter stoppet svarene. Selskapet varslet 1. juni at de ville publisere. Verre er det at kjøringen gjentar seg. Mindgard observerte at Cursor startet den samme binærfilen på nytt så lenge prosjektet lå åpent, slik at instansene hopet seg opp over tid.

«Cursor kjører den automatisk som del av path-oppslaget, uten advarsel, uten godkjenning, og uten noe tegn på at kjørbart innhold fra repoet er i ferd med å starte.» — Aaron Portnoy, sikkerhetsforsker i Mindgard

For deg som klonar repoer fra GitHub for å se hva folk har bygget, flytter dette risikoen fra «kjør koden» til «åpne mappa». Du trenger ikke starte noe, godkjenne noe verktøykall eller la agenten gjøre noe som helst. Det holder å peke Cursor på katalogen. Angrepet krever heller ingen KI-agent i løkka, så en streng auto-approve-policy hjelper deg ikke her.

Hva bør du gjøre?

1. Åpne ukjente repoer i en engangs-VM eller Windows Sandbox, ikke i din vanlige Cursor-profil.
2. Sjekk repo-roten for .exe-filer før du åpner prosjektet. Et repo som inneholder git.exe har ingen legitim grunn til å ligge der.
3. Blokker kjøring med AppLocker eller Windows App Control hvis du styrer flere maskiner. Mindgard anbefaler sti-baserte regler som nekter kjøring fra utviklermapper, for eksempel %USERPROFILE%\source\repos\*.
4. Ikke stol på hash-blokklister. Mindgard advarer eksplisitt mot det, siden filen enkelt kan endres eller omdøpes.