CVE-2025-56383-Proof-of-Concept

يحتوي Notepad++ v8.8.3 على ثغرة اختطاف DLL، والتي يمكنها استبدال ملف DLL الأصلي لتنفيذ تعليمات برمجية ضارة.

طريقة المثال هي كما يلي: (يرجى ملاحظة أن العرض التوضيحي التالي يستخدم npp.8.8.3.Installer.x64.exe لتثبيت Notepad++ للاختبار، ولكن في الواقع، أي تثبيت لـ Notepad++ يتأثر بهذه الثغرة)

استبدل DLL الأصلي (مثل Notepad++\plugins\NppExport\NppExport.dll) بملف DLL بنفس الاسم يحتوي على تعليمات برمجية ضارة (يتم إعادة توجيه وظيفة التصدير الأصلية إلى DLL الأصلي)، بحيث عند تنفيذ Notepad++.exe، يمكن تنفيذ التعليمات البرمجية الضارة.

من بينها، original-NppExport.dll هو DLL الأصلي، بينما NppExport.dll هو ملف مزور

ثم انقر فوق notepad++.exe وتم الاختطاف بنجاح

[ إخلاء المسؤولية ]

بخصوص استغلال الثغرات والمخاطر الأمنية:
الغرض من هذا المستودع هو تعزيز البحث الأمني وإصلاح الثغرات، بدلاً من تشجيع أو توجيه أي استغلال غير مصرح به للثغرات. الاستغلال أو الهجوم غير المصرح به على أي نظام أو شبكة غير قانوني وقد يشكل مخاطر أمنية خطيرة وعواقب قانونية على الأفراد والمنظمات.
يعارض المؤلف صراحة أي استغلال غير مصرح به للثغرات ويذكر المستخدمين بالامتثال للقوانين واللوائح والمبادئ التوجيهية الأخلاقية ذات الصلة.

المسؤولية القانونية والقيود:
لا يتحمل المؤلف تحت أي ظرف من الظروف المسؤولية عن أي أضرار مباشرة أو غير مباشرة أو عرضية أو خاصة أو عقابية أو تبعية (بما في ذلك على سبيل المثال لا الحصر فقدان الأرباح أو فقدان البيانات أو توقف العمل أو فشل نظام الكمبيوتر) الناشئة عن استخدام أو عدم القدرة على استخدام المعلومات الموجودة في هذا المستودع، حتى لو تم إبلاغ المؤلف بإمكانية حدوث مثل هذه الأضرار.

مسؤولية المستخدم:
يجب على المستخدمين التأكد من أن سلوكهم يتوافق مع القوانين واللوائح والمعايير الأخلاقية المحلية عند استخدام المعلومات في هذا المستودع. يتحمل المستخدمون المسؤولية الكاملة عن أفعالهم، بما في ذلك على سبيل المثال لا الحصر أي عواقب قانونية أو مخاطر أمنية تنشأ عن استخدام المعلومات في هذا المستودع.

إصلاح الثغرات والتحديثات:
يقترح المؤلف أن يقوم المستخدمون بالانتباه الفوري إلى معلومات إصلاح الثغرات التي تصدرها الجهات المعنية أو القائمين على المشروع، وتطبيق إجراءات الإصلاح في أقرب وقت ممكن لحماية أمن النظام والبيانات. لا يتحمل المؤلف أي مخاطر أمنية أو خسائر ناتجة عن فشل المستخدمين في تطبيق إجراءات الإصلاح في الوقت المناسب.