关于最近Cursor的漏洞，用Cursor的赶紧改自己的配置吧，尤其是那些经常从Github拉代码下来看的。 如果你是程序员，而且使用VSCode、Trae… · @NIxinhai0 · TwKit

@NIxinhai0

关于最近Cursor的漏洞，用Cursor的赶紧改自己的配置吧，尤其是那些经常从Github拉代码下来看的。 如果你是程序员，而且使用VSCode、Trae、Cursor等IDE的话（应该绝大部分人都在用），你需要小心，避免随意打开你不了解的代码仓库。 通常，使用VSCode打开新的代码目录时会蹦出一个窗口，问你是否“Trust the authors”。 通常我都是立即点击Yes，甚至我会选择信任整个上级目录。但，有人发现，当他打开了一个代码仓库后，他的电脑被植入了病毒，偷走了他的所有私钥，并转走了他的加密货币。这种损失绝对是究极惨痛！ 你可能会非常小心，不运行网上下载的未知程序，但你万万没想到，打开一个目录也会中招。 这是VSCode的一个feature，可以在打开目录时自动运行自定义任务。这并非bug，在黑客得手前，也没人意识到这会是个漏洞，直到悲剧发生。 evilcos/vscode_tasks_command_execute_poc这个仓库给出了一个此攻击的示例demo，你可以下载下来，用VSCode打开，它就会自动运行一个计算器程序。试一下你就明白，黑客可能利用这个功能做哪些可怕的事情。 特别提醒使用Cursor的用户，Cursor在打开目录时根本不提醒你选择是否trust，而是统一默认trust，根本不给你防御的机会。所以，建议在Cursor的配置文件settings.json里面添加"task.allowAutomaticTasks": "off"的配置以暂时避免此类情况发生。 网络现在正在变得越来越不安全，每个人都应该提高警惕，避免成为待宰的羔羊。

曝光 136 · 评论 2 · 点赞 1 · 书签 0