كشفت شركة الأمن السيبراني Mindgard عن ثغرة خطيرة في محرر الأكواد Cursor على نظام Windows، حيث يقوم البرنامج تلقائيًا بتشغيل أي ملف باسم git.exe موجود في جذر المستودع عند فتحه، دون أي تحذير أو نافذة موافقة. هذا يعني أن أي ملف ثنائي خبيث يمكنه العمل مباشرة بصلاحيات المستخدم، مستغلًا مفاتيح SSH والرموز السحابية المخزنة، ما يفتح الباب أمام تنفيذ أوامر عشوائية بمجرد استنساخ مستودع غير موثوق.
تفاصيل الاكتشاف ورد الشركة
أبلغت Mindgard عن الثغرة في ديسمبر 2025، لكنها نشرت التفاصيل الكاملة في يوليو 2026 بعد سبعة أشهر من الانتظار دون صدور أي تحديث أو تحذير رسمي من Cursor. التجربة العملية التي عرضتها الشركة تضمنت إعادة تسمية تطبيق Windows Calculator إلى git.exe ووضعه في جذر المستودع، ليبدأ التنفيذ فور فتح المشروع. ورغم أن Cursor نشر أكثر من 30 إشعارًا أمنيًا سابقًا، لم يتضمن أي منها هذه الثغرة، ولم يُخصص لها رقم CVE حتى الآن.
التداعيات وسيناريوهات الهجوم
الخطر يكمن في بساطة الشرط المسبق: وجود ملف ثنائي خبيث في جذر المستودع. وهذا أمر شائع عند استنساخ مستودعات عامة من الإنترنت، حيث يمكن للمهاجمين زرع ملفات ضارة بسهولة. الثغرة لا تحتاج إلى حقن أوامر أو وصول مسبق إلى الجهاز، بل مجرد فتح المستودع يكفي لتشغيل الكود الخبيث. هذا النوع من الهجمات يوسع نطاق التهديد من مجرد مستودع منشور إلى تنفيذ مباشر على أجهزة المطورين.
ردود الفعل والحلول المؤقتة
حتى الآن لا يوجد إصلاح رسمي، لكن Mindgard أوصت باستخدام سياسات AppLocker أو Windows App Control لمنع تشغيل الملفات التنفيذية من مسارات المستودعات، أو فتح المستودعات غير الموثوقة داخل بيئات افتراضية أو Windows Sandbox. كما نصحت شركة Cymulate بفحص المستودعات المستنسخة قبل فتحها، والتأكد من عدم وجود ملفات مثل git.exe أو node.exe في الجذر.
الجدير بالذكر أن نفس الفئة من الثغرات ظهرت في أدوات أخرى مثل GitHub Copilot CLI وGemini CLI وCodex، حيث يتم تشغيل ملفات git.exe من مجلد العمل مباشرة. بعض الشركات اعتبرت الأمر غير قابل للاستغلال، بينما لم تصدر أخرى أي إصلاحات حتى الآن. في المقابل، قامت AWS بإصلاح ثغرة مشابهة في أداة Kiro ومنحتها رقم CVE-2026-10591.
