سرقت کلید دسترسی، نقطه شروع رخنه
شرکت Cursor اعلام کرده است که انتشار نسخه آلوده‌ای از افزونه رسمی Claude Code در فروشگاه افزونه‌های این پلتفرم، با سرقت یک کلید دسترسی مرتبط بوده؛ کلیدی که در جریان رخنه‌ای در شرکت Fireworks AI افشا شده بود. به گزارش Hacker News، مهاجم با این کلید به یک مخزن ذخیره‌سازی فقط‌خواندنی دسترسی پیدا کرد که Cursor برای تبادل داده با Fireworks از آن استفاده می‌کرد.
این مخزن شامل بخشی از ردپای جلسات دستیار برنامه‌نویسی Cursor بود؛ داده‌هایی که عمدتاً به سال ۲۰۲۵ مربوط می‌شدند و از جلساتی آمده بودند که حالت Privacy Mode در آن‌ها فعال نبود. این جلسات می‌توانستند برای آموزش مدل استفاده شوند. در بخشی از ردپاها، اطلاعات محرمانه‌ای مانند کلیدهای API به‌درستی حذف نشده بود. Cursor می‌گوید اعتبارنامه‌های کمتر از ۰٫۰۱ درصد مشتریان در معرض افشا قرار گرفت.
مهاجم از این اطلاعات برای دسترسی به برخی ابزارهای SaaS مورد استفاده Cursor استفاده کرد. داده‌های قابل‌دسترسی شامل بخش‌هایی از مخازن کد قدیمی و غیرتولیدی، اطلاعات تماس تجاری، بخشی از مکاتبات پشتیبانی، آمار استفاده از محصول و خلاصه بعضی گفت‌وگوهای برنامه‌نویسی بود. همچنین برخی اعتبارنامه‌هایی که کاربران برای پشتیبانی فرستاده بودند، در میان داده‌های در معرض خطر قرار داشتند.
افزونه آلوده و اقدامات Cursor
در مرحله بعد، در ۲۹ اکتبر ۲۰۲۶، مهاجم با استفاده از یک اعتبارنامه سرقت‌شده، نسخه‌های دستکاری‌شده افزونه Claude Code را در حافظه پنهان فروشگاه افزونه Cursor قرار داد. این نسخه‌ها تلاش می‌کردند یک درِ پشتی SSH ماندگار روی دستگاه‌های آسیب‌دیده نصب کنند. Cursor اعلام کرده حداکثر ۵۰۰۰ کاربری که در آن روز نسخه‌های مشخصی را از حافظه پنهان دریافت کرده‌اند ممکن است نسخه آلوده را گرفته باشند. فایل مخرب حدود ۱۱ ساعت در دسترس بود.
شرکت فروشگاه افزونه را موقتاً از دسترس خارج کرد، نسخه‌های آلوده را حذف کرد و با ارائه‌دهنده ابری میزبان سرور مهاجم برای متوقف‌کردن آن همکاری کرد. کاربران متأثری که نسخه‌های ۲.۱.۳۱۲ یا ۲.۱.۳۱۳ را در بازه موردنظر نصب کرده بودند، مطلع شدند و برای باطل‌کردن اعتبارنامه‌های افشاشده راهنمایی دریافت کردند. Cursor همچنین کلید Fireworks را غیرفعال کرد، اعتبارنامه‌ها را تغییر داد و ترافیک پردازش هوش مصنوعی را از این شرکت خارج کرد.
Cursor می‌گوید از اول نوامبر فعالیت مخرب دیگری شناسایی نشده است. این شرکت همچنین اعلام کرده شواهدی از تأثیر رخداد بر کاربران دارای Privacy Mode، مخازن کد مشتریان، محیط عملیاتی اصلی Cursor یا به‌روزرسانی رسمی برنامه ندیده است. این موضوع به معنای بی‌اهمیت‌بودن افشای ردپاهای دیگر نیست؛ داده‌های ثبت‌شده در جلسات برنامه‌نویسی ممکن است ناخواسته حاوی اطلاعات محرمانه باشند.
پیامدهای رخنه Fireworks
این رخداد تنها مورد مرتبط با Fireworks نیست. اوبر نیز گفته است مهاجمی با استفاده از اعتبارنامه‌های داخلی سرقت‌شده از یک ارائه‌دهنده خدمات، به داده‌های متصل به حساب اوبر نزد آن ارائه‌دهنده دسترسی پیدا کرده و اطلاعات گواهینامه رانندگی هزاران راننده را برده است. نام شرکت در بیانیه اوبر ذکر نشده، اما گزارش TechCrunch آن را Fireworks AI معرفی کرده است. استارتاپ Notion هم پیش‌تر از سرقت داده‌های خود در رخنه این شرکت خبر داده بود.
Originally published by Hacker News
