News
Des incidents Cursor ont causé des dommages sans exploiter de CVE Cursor publiée.
Les dommages confirmés passent notamment par des extensions et des fichiers de projet auxquels l'agent fait confiance.
En octobre 2026, la marketplace de Cursor a diffusé une extension Claude Code piégée pendant environ 11 heures.
Chez PocketOS, un agent a supprimé un volume de production avec un token Railway trouvé dans un fichier.
Workspace Trust est désactivé par défaut, laissant une tâche .vscode/tasks.json s'exécuter à l'ouverture d'un dossier.