Cursor kertoi, että Fireworks AI -palveluntarjoajalla paljastunut pääsyavain antoi hyökkääjälle pääsyn koodausistuntojen tietoihin ja tunnistetietoihin sekä joihinkin Cursorin järjestelmiin ja mahdollisti haitallisen Claude Code -laajennuksen lisäämisen Cursorin markkinapaikan välimuistiin.
13. marraskuuta julkaisemassaan päivityksessä Cursor kertoi, että avain antoi pääsyn tallennustilaan, jonka sisältöä pystyi vain lukemaan. Alueella oli rajallisesti tietoja koodausagenttien toiminnasta, enimmäkseen vuodelta 2025 ja istunnoista, joissa yksityisyystila ei ollut käytössä. Osa tiedoista sisälsi tunnistetietoja, joita ei ollut poistettu.
Cursor kertoi, että alle 0,01 prosentin asiakkaista API-käyttöön liittyviä tietoja paljastui. Hyökkääjä käytti tunnistetietoja päästäkseen valittuihin ohjelmistopalveluihin. Cursorin mukaan hyökkääjä pääsi käsiksi arkistoituihin repositorioihin, joita ei käytetty tuotantokäytössä, rajalliseen määrään tukitietoja ja sähköposteja, käyttötietoihin, yhteystietoihin, keskusteluyhteenvetoihin ja joihinkin pääsytietoihin, joita asiakkaat olivat lähettäneet tukeen.
29. lokakuuta hyökkääjä käytti Cursorin sisäisistä järjestelmistä haltuunsa saamaansa tunnistetietoa lisätäkseen Claude Code -laajennuksen versioista 2.1.312 ja 2.1.313 luvattomat kopiot markkinapaikan välimuistiin. Cursorin mukaan nämä versiot olivat saatavilla noin 11 tunnin ajan. Jopa 5 000 versiota pyytänyttä käyttäjää on saattanut saada haitalliset koontiversiot.
Tämä ei tarkoita, että kaikki kyseiset käyttäjät olisivat asentaneet ne tai että heidän järjestelmiään olisi vaarannettu. Laajennus yritti kerätä laitetietoja ja luoda etäkäyttöyhteyden, joka jäisi käyttöön. Cursor huomautti, että haitallisen koodin virheet saattoivat estää joidenkin järjestelmiin piilotetun etäkäyttömahdollisuuden luomiseen tähtäävien vaiheiden toiminnan.
Cursor kertoi, ettei Anthropic julkaissut näitä kopioita. Cursorin mukaan Anthropicin tuote ei ollut haavoittuva. Cursor kertoi, ettei alkuperäisessä Open VSX -markkinapaikassa ollut haittaohjelmaa.
Cursor kertoi peruuttaneensa palveluntarjoajan avaimen. Yhtiö vaihtoi tunnistetiedot. Se otti yhteyttä asiakkaisiin, joita asia koski.