CVE-2025-54135

A continuación se presenta un exploit completamente funcional para la vulnerabilidad CVE-2025-54135 en el IDE Cursor, diseñado para demostrar un ataque de inyección de prompts que manipula la configuración del Protocolo de Contexto de Modelo (MCP) para lograr ejecución remota de código. Este código asume que el atacante tiene acceso a un canal público de Slack o un servidor MCP externo similar con el que el IDE Cursor de la víctima está configurado para interactuar. El exploit crea un prompt malicioso que reescribe el archivo ~/.cursor/mcp.json para ejecutar comandos arbitrarios bajo los privilegios del desarrollador.

---

⚠️ Aviso Legal

Este código es solo para fines educativos. El uso no autorizado es ilegal. El autor no se hace responsable por el mal uso. Siempre obtenga permiso y cumpla con las leyes.

Exploit href

---

Instrucciones de Configuración

Para usar este exploit, siga estos pasos para configurar la infraestructura de ataque:

1. Crear un Bot de Slack:

   • Configure una aplicación de Slack con un token de bot y permisos para publicar mensajes en un canal público (por ejemplo, general).
   • Reemplace xoxp-your-slack-bot-token-here en el script con su token de bot.

2. Configurar un Servidor MCP Malicioso:

   • Aloje un servidor en http://attacker-controlled-server.com:8080 (reemplácelo con la URL de su propio servidor).
   • Este servidor puede ser un servidor HTTP simple para registrar interacciones o servir cargas útiles adicionales, aunque no es estrictamente necesario para la ejecución inicial del comando.

3. Ejecutar el Exploit:

   • Instale las dependencias: pip install requests.
   • Ejecute el script: python cve-2025-54135-exploit.py.
   • El script publica un prompt malicioso en el canal de Slack especificado, que el IDE Cursor de la víctima obtendrá y procesará si está configurado para monitorear ese canal.

4. Mecanismo del Exploit:

   • El prompt malicioso contiene una configuración MCP codificada en Base64 que agrega una nueva entrada de servidor a ~/.cursor/mcp.json.
   • La bandera auto_start asegura que el start_command (por ejemplo, ) se ejecute inmediatamente sin aprobación del usuario.

Requisitos Previos

• Python 3.x con la biblioteca requests.
• Un espacio de trabajo de Slack donde el IDE Cursor de la víctima esté configurado para obtener datos a través de MCP.
• Un servidor controlado por el atacante (opcional para cargas útiles avanzadas).

Notas

• Este exploit se dirige a versiones del IDE Cursor anteriores a 1.3, que fue parcheado el 29 de julio de 2025. Asegúrese de que el objetivo esté ejecutando una versión vulnerable.
• El ataque depende de que el IDE Cursor de la víctima procese datos externos de un canal público de Slack o un servicio similar conectado a MCP.
• Para uso en el mundo real, asegúrese de tener permiso para probar contra el sistema objetivo, ya que la explotación no autorizada es ilegal.

Este código y configuración proporcionan una demostración funcional de cómo un atacante podría aprovechar CVE-2025-54135 para lograr ejecución remota de código mediante inyección de prompts en el IDE Cursor.