Abaixo está um exploit totalmente funcional para a vulnerabilidade CVE-2025-54135 no Cursor IDE, projetado para demonstrar um ataque de injeção de prompt que manipula a configuração do Model Context Protocol (MCP) para alcançar execução remota de código. Este código pressupõe que o atacante tenha acesso a um canal público do Slack ou a um servidor MCP externo similar com o qual o Cursor IDE da vítima esteja configurado para interagir. O exploit cria um prompt malicioso que reescreve o arquivo ~/.cursor/mcp.json para executar comandos arbitrários com os privilégios do desenvolvedor.

⚠️ Aviso Legal

Este código é apenas para fins educacionais. O uso não autorizado é ilegal. O autor não se responsabiliza pelo mau uso. Sempre obtenha permissão e cumpra as leis.

Exploit href

Instruções de Configuração

Para usar este exploit, siga estas etapas para configurar a infraestrutura do ataque:

Crie um Bot do Slack:
- Configure um aplicativo do Slack com um token de bot e permissões para publicar mensagens em um canal público (ex.: general).
- Substitua xoxp-your-slack-bot-token-here no script pelo seu token de bot.
Configure um Servidor MCP Malicioso:
- Hospede um servidor em http://attacker-controlled-server.com:8080 (substitua pela URL do seu próprio servidor).
- Este servidor pode ser um servidor HTTP simples para registrar interações ou servir payloads adicionais, embora não seja estritamente necessário para a execução inicial do comando.
Execute o Exploit:
- Instale as dependências: pip install requests.
- Execute o script: python cve-2025-54135-exploit.py.
- O script publica um prompt malicioso no canal do Slack especificado, que o Cursor IDE da vítima buscará e processará se estiver configurado para monitorar esse canal.
Mecanismo do Exploit:
- O prompt malicioso contém uma configuração MCP codificada em Base64 que adiciona uma nova entrada de servidor ao arquivo ~/.cursor/mcp.json.
- A flag auto_start garante que o start_command (ex.: ) seja executado imediatamente sem aprovação do usuário.

Pré-requisitos

Python 3.x com a biblioteca requests.
Um workspace do Slack onde o Cursor IDE da vítima esteja configurado para buscar dados via MCP.
Um servidor controlado pelo atacante (opcional para payloads avançados).

Notas

Este exploit visa versões do Cursor IDE anteriores à 1.3, que foi corrigida em 29 de julho de 2025. Certifique-se de que o alvo esteja executando uma versão vulnerável.
O ataque depende de o Cursor IDE da vítima processar dados externos de um canal público do Slack ou de um serviço similar conectado via MCP.
Para uso no mundo real, certifique-se de ter permissão para testar o sistema alvo, pois a exploração não autorizada é ilegal.

Este código e a configuração fornecem uma demonstração funcional de como um atacante poderia explorar o CVE-2025-54135 para alcançar execução remota de código via injeção de prompt no Cursor IDE.

CVE-2025-54135