AI编码
dev.to ·
@Charles Kern
为什么 Cursor 会让任意用户把自己变成管理员（CWE-915）
文章指出让 Cursor 或 Claude Code 生成“更新资料”接口时，常出现 prisma.user.update({ data: req.body }) 这类批量赋值漏洞，登录用户只需在请求中加入 role: admin 即可提权；作者建议用 zod 或 Pydantic 的允许列表 schema 拒绝未知字段，并给出可复现的测试流程。
AI推荐理由 指出 AI 编程助手生成更新接口时常见的 CWE-915 批量赋值漏洞，给出可复现的测试方法（重放 PATCH 请求添加 role 字段）并强调应使用白名单 schema 而非黑名单，对使用 Cursor/Claude Code 的开发者有直接安全警示价值。
72
正文
当前仅保存了标题或简介；并非所有来源都提供正文，可通过下方原文链接查看。