BERLIN / LONDON (IT BOLTWISE) – Cursor kann auf Windows beim Öffnen eines Projekts versehentlich eine im Workspace abgelegte git.exe starten. Die Ausführung passiert ohne Warnhinweis, ohne Dialog und ohne vorherige Benutzeraktion, solange der Projektordner geöffnet bleibt. Damit kann ein beliebig veröffentlichtes Repository Code unter dem eingeloggten Benutzer ausführen, inklusive Zugriff auf Quelltext, SSH-Schlüssel und Cloud-Tokens. Mindgard beschreibt zudem, dass bis zur Veröffentlichung der Details kein Fix und keine Sicherheitsmitteilung verfügbar waren.
Mit dem Öffnen eines geklonten Projekts in Cursor auf Windows reicht offenbar eine einzige Bedingung: Liegt im Root-Verzeichnis des Workspaces eine Datei namens git.exe, startet Cursor diese beim Laden des Projekts. Der Angriff funktioniert ohne Klick, ohne Freigabe-Dialog und ohne Modell- oder Agenten-Schritt im Hintergrund; stattdessen genügt das „Öffnen des Ordners“ als vollständiger Exploit. Was besonders heikel ist: Der gestartete Prozess läuft „als Nutzer“, also mit genau den Rechten der Session, und erhält damit indirekt Zugriff auf Quellcode, SSH-Schlüssel sowie Cloud-Tokens. Mindgard ordnet das als willkürliche Code-Ausführung durch eine untrusted Suche nach Hilfsprogrammen ein, nicht als klassische Prompt-Injection.
Technisch betrachtet beschreibt die Analyse einen reproduzierbaren Mechanismus, der mehrere Git-Pfadpositionen prüft, um ein Git-Binary zu finden. Entscheidend ist, dass dabei auch das Workspace selbst in die Suchkette fällt. In den Process-Monitor-Ergebnissen wird Cursor.exe gezeigt, wie es eine Binärdatei im Repo-Root mit einem Git-Aufruf startet, konkret mit der Kommandozeile „git rev-parse –show-toplevel“. Dieser „Repository-Root Probe“-Ansatz entspricht einem Standard, den auch VS Code in seiner Dokumentation für Git-Initialisierung beschreibt, nur eben mit einer fatalen Nebenwirkung: Wenn Windows an dieser Stelle zuerst das aktuelle Verzeichnis (Current Directory) oder den Workspace-Kontext bedient, wird eine gepflanzte Datei zur ausführbaren Zielkomponente.
Für den Markt ist das weniger ein Einzelfall als ein Muster, das seit Jahren bei Tools mit Hilfsprogramm-Resolution sichtbar ist. Bereits im Umfeld ähnlicher KI-Entwickleroberflächen wurde berichtet, dass mehrere Anwendungen unter Windows beim Start oder beim Öffnen eines Ordners eine workspace-seitige git.exe ausführen können. Dazu zählen unter anderem GitHub Copilot CLI, Gemini CLI und eine Desktop-Variante von Codex, die laut einer separaten Untersuchung in mehreren Fällen dasselbe Suchpfad-Verhalten zeigten. In der Folge variierten die Reaktionen: GitHub habe triagiert und eine Bounty gezahlt, aber später heruntergestuft; Google habe die Validität bestätigt und dennoch keinen Patch geliefert; bei OpenAI sei ein vermeintlich nicht zutreffendes Szenario angenommen worden. Gegen Cursor sei der Befund hingegen detailliert dokumentiert worden, bis hin zu zeitlich nachvollziehbaren Bestätigungen.
Der Zeitstrahl macht die Durchschlagskraft deutlich: Mindgard meldete die Schwachstelle am 15. Dezember 2025 an Cursor und veröffentlichte die vollständigen technischen Details erst rund sieben Monate später. Laut dem Bericht gab es bis zum Zeitpunkt der Veröffentlichung keine Patch-Information und auch keine Advisory, die das Problem abdeckt. Die Evidenz umfasst eine letzte datierte Bestätigung am 30. April 2026 gegen Cursor 3.2.16; die aktuelle Release-Version soll zu diesem Zeitpunkt 3.11 gewesen sein, ausgeliefert am 10. Juli. Parallel habe ein Community-Review aller Cursor-Security-Advisories (33 Einträge) am 15. Juli keine Referenz auf eine passende Git-Resolution-Lücke gefunden. Ohne CVE-Zuordnung fehlte zudem ein zentraler Anker für Enterprise-Teams, um die Lage automatisiert zu bewerten.
Für Verteidiger ist die Abwägung klar: Wenn keine Code-Sperre vorhanden ist, müssen Prozesse auf Betriebssystemebene „workspace-basierte“ Execution verhindern. Mindgard empfiehlt für verwaltete Windows-Flotten den Einsatz von AppLocker oder Windows App Control mit deny-Regeln, die eine Ausführung nach Name und Pfad unterhalb von Workspace-Wurzeln blockieren – etwa über Muster wie %USERPROFILE%\source\repos\*\filename.exe. Dabei betont die Firma, dass Pfadregeln gegenüber Hash-basierter Sperre robuster sind, weil Angreiferbinärdateien unterschiedliche Signaturen haben können. Ein weiterer Punkt: Windows kann ohne zusätzlichen Sicherheitslayer keine allgemeine Regel bereitstellen, die ausschließlich Kindprozesse blockiert, wenn sie von einem bestimmten Parent-Prozess ausgelöst werden; hierfür braucht es typischerweise EDR. Für alle anderen bleibt als pragmatische Maßnahme, untrusted Repositories in einer isolierten Umgebung wie einer dedizierten VM oder Windows Sandbox zu öffnen und Exfiltrationsmöglichkeiten über Tokens zu reduzieren.
Auch organisatorisch verschiebt sich dadurch die Sicherheitslogik in Richtung „Ordner ist Inhalt“. Cymulate habe in einem früheren Bericht darauf hingewiesen, dass die untrusted Search Path-Schwäche bereits bei anderen Git-bezogenen Problemen eine Rolle gespielt hat. Historisch ist das kein neues Phänomen: 2020 etwa wurde beschrieben, dass ein manipuliertes git.exe im Top-Level eines Repo die Funktionsweise von Git Credential Manager Core während rekursiver Klone beeinflussen konnte (CVE-2020-26233). Der Mechanismus war wieder das gleiche Prinzip—eine Binärdatei dort platzieren, wo die Software sie vor den vertrauenswürdigen Systempfaden findet. Sechs Jahre später landet derselbe Trick bei IDEs, die den Git-Probe-Schritt beim Öffnen des Ordners übernehmen. Damit wächst der Druck, neben klassischen „Repo-Trust“-Prompts auch die lokale Pfadauflösung konsequent zu härten.
Die Zukunftsaussage der Branche ist daher weniger „auf Cursor warten“, sondern „Paradigmenwechsel in der Tool-Implementierung“. Jedes KI-Entwickler-Frontend, das beim Projektstart Helper wie Git oder Node aufruft, sollte Pfadauflösungen strikt auf signierte, explizit konfigurierte Systempfade begrenzen und niemals das Workspace selbst als unqualifizierte Quelle für ausführbare Dateien behandeln. Zudem ist eine klare Policy wichtig, die die Execution-Kette von Parent zu Child so adressiert, dass ein bestimmtes Tool nicht beliebige lokale Binärdateien starten kann. Marktbeobachter erwarten, dass EDR- und App-Control-Regeln kurzfristig die Lücke schließen, während Vendor-Patches mittel- bis langfristig die Basisklasse „untrusted current directory“ eliminieren. Für Entwickler ergibt sich daraus auch eine positive Nebenwirkung: Die Erwartungen an die sichere Integration von Git-Probing werden messbarer und lassen sich in Unternehmensstandards für Toolchains und Build-Agents verankern.
Damit bleibt noch eine offene Frage: Wie konsequent wird die Meldelinie nach dem Bericht tatsächlich nachverfolgt? Im Fall von Mindgard schildert die Chronologie, dass Cursor zunächst Probleme bei der Einbindung in ein privates HackerOne-Programm gehabt habe; später sei die Report-Kette mehrfach aktualisiert worden, bevor eine Bestätigung reproduzierbar wurde. Die Parallelität anderer Cursor-Advisories zeigt zudem, dass Sicherheitsprozesse grundsätzlich funktionieren können: Am 13. Februar 2026 sei beispielsweise eine Git-Hook-Sandbox-Escape-Lücke (CVE-2026-26268) veröffentlicht und in Cursor 2.5 gefixt worden, während die hier betrachtete workspace-seitige Binärauflösung weiterhin im Raum stand. Genau deshalb ist die Empfehlung für Unternehmen, nicht nur auf CVEs zu warten, sondern deterministische Schutzmaßnahmen zu implementieren. Gleichzeitig werden Entwickler künftig häufiger prüfen müssen, ob ihre Workflows (z. B. Sandbox-Policy, Repo-Scanning, Deployment-Hardening) auch den Moment abdecken, in dem ein IDE „nur kurz“ Git-Probing betreibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cursor-Sicherheitslücke: Workspace-„git.exe“ löst ohne Prompt Code-Ausführung unter Windows aus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cursor-Sicherheitslücke: Workspace-„git.exe“ löst ohne Prompt Code-Ausführung unter Windows aus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cursor-Sicherheitslücke: Workspace-„git.exe“ löst ohne Prompt Code-Ausführung unter Windows aus« bei Google Deutschland suchen, bei Bing oder Google News!