CVE-2025-54135

下面是一个针对Cursor IDE中CVE-2025-54135漏洞的完整可用利用代码，旨在演示一种通过操纵模型上下文协议（MCP）配置来实现远程代码执行的提示注入攻击。该代码假设攻击者能够访问受害者的Cursor IDE配置与之交互的公共Slack频道或类似的外部MCP服务器。该利用精心构造了一个恶意提示，重写~/.cursor/mcp.json文件，以在开发者的权限下执行任意命令。

---

⚠️ 免责声明

此代码仅供教育目的使用。未经授权的使用是非法的。作者不对滥用行为负责。请务必获得许可并遵守法律。

漏洞利用 href

---

设置说明

要使用此利用代码，请按照以下步骤设置攻击基础设施：

1. 创建一个Slack机器人：

   • 设置一个Slack应用，获取机器人令牌并拥有向公共频道（例如general）发送消息的权限。
   • 将脚本中的xoxp-your-slack-bot-token-here替换为你的机器人令牌。

2. 设置一个恶意MCP服务器：

   • 在http://attacker-controlled-server.com:8080上托管一个服务器（替换为你自己的服务器URL）。
   • 该服务器可以是一个简单的HTTP服务器，用于记录交互或提供额外的有效载荷，但对于初始命令执行来说并非严格必需。

3. 运行利用代码：

   • 安装依赖：pip install requests。
   • 执行脚本：python cve-2025-54135-exploit.py。
   • 脚本会将一个恶意提示发布到指定的Slack频道，受害者的Cursor IDE如果配置为监视该频道，则会获取并处理该提示。

4. 利用机制：

   • 恶意提示包含一个Base64编码的MCP配置，该配置向~/.cursor/mcp.json添加一个新的服务器条目。
   • auto_start标志确保start_command（例如whoami > /tmp/pwned.txt）无需用户批准即可立即执行。
   • 由于Cursor以开发者权限运行，该命令会在受害者的环境中执行，可能导致数据窃取、勒索软件或进一步系统入侵。

5. 验证：

   • 检查受害者的机器上是否存在/tmp/pwned.txt以确认命令执行成功。
   • 根据需要修改变量COMMAND以执行其他shell命令。

前提条件

• Python 3.x及requests库。
• 一个Slack工作区，受害者的Cursor IDE已配置为通过MCP从中获取数据。
• 一个攻击者控制的服务器（高级有效载荷可选）。

注意事项

• 此利用针对2025年7月29日修复之前的Cursor IDE 1.3以下版本。请确保目标运行的是易受攻击的版本。
• 攻击依赖于受害者的Cursor IDE处理来自公共Slack频道或类似MCP连接服务的外部数据。
• 在实际使用中，请确保你有权对目标系统进行测试，因为未经授权的利用是非法的。

该代码和设置提供了一个功能性演示，展示了攻击者如何利用CVE-2025-54135通过Cursor IDE中的提示注入实现远程代码执行。