Bezpečnostní výzkumníci z Cato AI Labs zveřejnili dvě kritické zranitelnosti v AI editoru kódu Cursor, evidované jako CVE-2026-50548 a CVE-2026-50549 a přezdívané "DuneSlide" — obě s hodnocením závažnosti 9,8 z 10. Útočníci mohou tyto chyby zkombinovat, uniknout ze sandboxu Cursoru a spustit libovolné příkazy na počítači vývojáře pomocí jediného škodlivého promptu.
První chyba zneužívá volitelný parametr working_directory nástroje run_terminal_cmd v Cursoru: když AI agent nastaví nestandardní cestu, Cursor ji bez ověření přidá na seznam povolených míst pro zápis, což umožní vloženým instrukcím přepsat samotného pomocníka sandboxu nebo startovací soubory jako ~/.zshrc. Druhá chyba využívá záložní mechanismus překladu symlinků k zápisu mimo složku projektu, pokud vlastní kontroly selžou. Protože útok jede na principu prompt injection — skryté instrukce umístěné ve službě propojené přes MCP nebo na webové stránce, kterou agent čte — "není zde žádné kliknutí, na které by bylo možné naletět, ani schvalovací okno, které by šlo ignorovat."
Cato nahlásilo chyby 19. února; Cursor je nejprve odmítl, poté případ znovu otevřel a opravil do 26. února. Obě chyby jsou opraveny ve verzi Cursor 3.0 (vydané 2. dubna), avšak všechny starší verze zůstávají zranitelné a editor údajně používá více než polovina firem ze žebříčku Fortune 500. Aktivní zneužití zatím nebylo zaznamenáno.