漏洞双联：批准一次，后门终身

记录时间 2025-08-01 与 08-05，两家安全公司接连投递。Aim Security 的 CurXecute（CVE-2025-54135，CVSS 8.5）：把恶意提示藏进外部数据源——例如一条 Slack 消息——agent 读到后被诱导改写 .cursor/mcp.json，而当时新增条目无需批准即自动启动，攻击者就此以开发者权限执行任意命令。Check Point 的 MCPoison（CVE-2025-54136，CVSS 7.2）：信任绑在 MCP 条目名而非内容上，先用无害配置骗到一次批准，事后把命令换成反弹 shell，此后每次打开项目静默执行，等效持久后门。

处置时间线：两位研究员分别于 7 月 7 日与 16 日负责任披露，Cursor 在 7 月 29 日的 1.3 版完成修复——任何 MCP 配置改动，哪怕只加一个空格，强制重新批准。从通报到修复十三天。

系统备注：一年后 Windows 上的 git.exe 赏金争议，本质仍是同一道题——已经在场的恶意输入算不算你的责任。全行业至今无标准答案，本系统持续收录各方答卷。