整理：TopAIMap 编辑
Cursor Windows 漏洞 CVE-2026-63093：打开项目即可执行根目录 git.exe，CVSS 8.7
Mindgard 披露 Cursor Windows 会把项目根目录的 git.exe 当 Git 启动；CVE CVSS 8.7，官方称 3.13.25+ 已修，macOS/Linux 不受影响。
安全公司 Mindgard 报告：Windows 版 Cursor 打开项目时按名称查找 git，会把仓库根目录里放置的 git.exe 当成真实 Git 启动，启动时与之后反复触发、无需额外点击。CVE-2026-63093（VulnCheck 登记，公开日约 2026-07-14）覆盖 Cursor for Windows 3.2.16，CVSS 4.0 评分 8.7（CWE-426 不可信搜索路径）。Cursor 曾称报告超出赏金范围；2026-08 更新称已改为经校验的绝对路径启动 Git，并要求升级到 3.13.25 或更高。macOS / Linux 不受影响。VibeIncidents 于 2026-10-14 将该事件写入公开事件库并核实。
谁能用：所有 Cursor 用户——Windows 请升到 3.13.25+；可用 Workspace Trust 限制不可信文件夹。漏洞不改变 Free/Pro/Business/API 订阅档，但影响本地 IDE 安全基线。 解读：Agent IDE 默认信任工作区路径查找，把「克隆陌生仓库」变成代码执行面；共享责任模型挡不住根目录同名可执行文件。 讨论：① IDE 应否默认禁止从项目目录解析 git/工具链？② Workspace Trust 能否成为 Agent 打开仓库的强制门禁？ 来源：VibeIncidents https://vibeincidents.com/incidents/cursor-windows-git-exe-cve-2026-63093/ | X @VibeIncidents https://x.com/VibeIncidents/status/2110530800663789687
