Auditoría de cursor/plugins: 96 complementos oficiales, 9.320 estrellas, 2,4% de configuración y una puerta de CI que aceptó un hook con «curl | bash»

Fri, 02 Oct 2026 00:00:00 +0000

El ecosistema de complementos de Cursor vive en un solo repositorio: cursor/plugins, descrito como «Official Cursor plugins for popular developer tools, frameworks, and SaaS products». Lo cloné en el commit 2eb7ed46 el 1 de octubre de 2026 y medí todo lo medible: cada manifiesto, cada mcp.json, cada script de hooks, cada fichero de licencia y también su propia puerta de validación, que ejecuté en local y después ataqué a propósito con cuatro mutaciones. Parte de lo que salió es normal en un monorepo joven. Parte conviene saberla antes de pulsar «Install».

Estas son las cifras de cabecera: 96 complementos, 887 ficheros, 6.381.913 bytes (6,09 MiB) sin contar .git, de los cuales el 65,5% son imágenes, el 19,2% markdown y sólo el 2,4% JSON. Ochenta de los 96 plugins son integraciones MCP remotas con servicios de terceros repartidas por 70 hosts distintos. El repositorio tiene 9.320 estrellas, 883 forks, 41 observadores, 433 commits y una licencia MIT declarada sin ningún fichero LICENSE en la raíz (la API de GitHub informa license: null).

Validación Con GitHub Actions on SoloSoft

Auditoría de cursor/plugins: 96 complementos oficiales, 9.320 estrellas, 2,4% de configuración y una puerta de CI que aceptó un hook con «curl | bash»