CVE-2025-54135

Voici un exploit complètement fonctionnel pour la vulnérabilité CVE-2025-54135 dans l'IDE Cursor, conçu pour démontrer une attaque par injection de prompt qui manipule la configuration du Model Context Protocol (MCP) afin d'obtenir une exécution de code à distance. Ce code suppose que l'attaquant a accès à un canal Slack public ou à un serveur MCP externe similaire avec lequel l'IDE Cursor de la victime est configuré pour interagir. L'exploit conçoit un prompt malveillant qui réécrit le fichier ~/.cursor/mcp.json pour exécuter des commandes arbitraires sous les privilèges du développeur.

---

⚠️ Avertissement

Ce code est uniquement à des fins éducatives. Toute utilisation non autorisée est illégale. L'auteur n'est pas responsable d'une mauvaise utilisation. Obtenez toujours l'autorisation et respectez les lois.

Exploit href

---

Instructions de configuration

Pour utiliser cet exploit, suivez ces étapes pour mettre en place l'infrastructure d'attaque :

1. Créer un bot Slack :

   • Configurez une application Slack avec un jeton de bot et les autorisations nécessaires pour publier des messages dans un canal public (par exemple, general).
   • Remplacez xoxp-your-slack-bot-token-here dans le script par votre jeton de bot.

2. Configurer un serveur MCP malveillant :

   • Hébergez un serveur à l'adresse http://attacker-controlled-server.com:8080 (remplacez par l'URL de votre propre serveur).
   • Ce serveur peut être un simple serveur HTTP pour enregistrer les interactions ou servir des charges utiles supplémentaires, bien qu'il ne soit pas strictement nécessaire pour l'exécution initiale de la commande.

3. Exécuter l'exploit :

   • Installez les dépendances : pip install requests.
   • Exécutez le script : python cve-2025-54135-exploit.py.
   • Le script publie un prompt malveillant dans le canal Slack spécifié, que l'IDE Cursor de la victime récupérera et traitera s'il est configuré pour surveiller ce canal.

4. Mécanisme de l'exploit :

   • Le prompt malveillant contient une configuration MCP encodée en Base64 qui ajoute une nouvelle entrée de serveur à ~/.cursor/mcp.json.
   • Le drapeau auto_start garantit que la start_command (par exemple ) s'exécute immédiatement sans approbation de l'utilisateur.

Prérequis

• Python 3.x avec la bibliothèque requests.
• Un espace de travail Slack dans lequel l'IDE Cursor de la victime est configuré pour récupérer des données via MCP.
• Un serveur contrôlé par l'attaquant (facultatif pour les charges utiles avancées).

Remarques

• Cet exploit cible les versions de l'IDE Cursor antérieures à 1.3, qui a été corrigée le 29 juillet 2025. Assurez-vous que la cible exécute une version vulnérable.
• L'attaque repose sur le traitement par l'IDE Cursor de la victime de données externes provenant d'un canal Slack public ou d'un service similaire connecté à MCP.
• Pour une utilisation réelle, assurez-vous d'avoir l'autorisation de tester le système cible, car une exploitation non autorisée est illégale.

Ce code et ces instructions fournissent une démonstration fonctionnelle de la façon dont un attaquant pourrait exploiter CVE-2025-54135 pour obtenir une exécution de code à distance via une injection de prompt dans l'IDE Cursor.