Die Schwachstelle betrifft die Windows-Version der Entwicklungsumgebung Cursor und beruht auf dem sogenannten Binary Planting: Die Anwendung sucht die benötigte Git-Programmdatei nicht ausschließlich an vertrauenswürdigen Systempfaden, sondern greift auch auf eine gleichnamige ausführbare Datei zu, die im Wurzelverzeichnis des geöffneten Projekts liegt. Ein Angreifer kann daher ein präpariertes Repository bereitstellen, das eine manipulierte Git-Programmdatei enthält. Klont ein Entwickler dieses Repository und öffnet es in der Entwicklungsumgebung, wird die untergeschobene Datei bereits beim Start der IDE und danach in wiederkehrenden zeitlichen Abständen automatisch ausgeführt. Eine Bestätigung oder sonstige Interaktion des Nutzers ist dafür nicht erforderlich. Der eingeschleuste Code läuft mit den Rechten des angemeldeten Benutzers, sodass ein entfernter Angreifer beliebigen Code auf dem Entwicklerrechner ausführen und damit auf dessen Daten und Zugänge zugreifen kann.