CursorJacking-Sicherheitslücke bleibt ungepatcht und gefährdet Entwickler-Anmeldedaten (layerxsecurity.com)

• Ungepatchte Schwachstelle mit hohem Schweregrad
• Gefährdet API-Schlüssel und Sitzungstoken
• Nutzt Erweiterungsberechtigungslücke aus

"Eine kritische Schwachstelle namens CursorJacking (CVSS 8.2) wurde im KI-Code-Editor Cursor entdeckt, die es bösartigen Erweiterungen ermöglicht, API-Schlüssel und Sitzungstoken aus dem lokalen Anmeldedatenspeicher zu stehlen. Stand Mitte Mai 2026 wurde noch kein Patch veröffentlicht, sodass Benutzer weiterhin gefährdet sind. Der Fehler nutzt unzureichende Isolierung von Erweiterungsberechtigungen aus, um unbefugten Zugriff auf gespeicherte Anmeldedaten zu ermöglichen. Entwickler sollten vorhandene Token widerrufen und nicht vertrauenswürdige Erweiterungen deaktivieren, bis ein Fix verfügbar ist. Die Schwachstelle unterstreicht anhaltende Sicherheitsrisiken bei KI-gestützten Codierungswerkzeugen."