Resumen Ejecutivo

La neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en la aplicación Bloc de Notas de Windows permite que un atacante no autorizado ejecute código a través de la red.

La aplicación moderna Bloc de Notas de Windows (distribuida a través de Microsoft Store) introdujo soporte de renderizado Markdown, que incluye hipervínculos clicables. La vulnerabilidad existe porque el Bloc de Notas no valida ni sanea adecuadamente los esquemas de URI dentro de los enlaces Markdown antes de procesarlos. Un atacante puede crear un archivo .md malicioso que contenga enlaces especialmente formados que, al hacer clic el usuario, activen manejadores de protocolo no verificados para cargar y ejecutar contenido remoto.

Métricas CVSS v3.1

Métricas Base

Métricas Temporales

Preguntas Frecuentes

¿Cómo podría un atacante explotar esta vulnerabilidad?

Un atacante podría engañar a un usuario para que haga clic en un enlace malicioso dentro de un archivo Markdown abierto en el Bloc de Notas, provocando que la aplicación lance protocolos no verificados que carguen y ejecuten archivos remotos.

¿Cuál es el contexto objetivo de la ejecución remota de código?

Según la métrica CVSS, el vector de ataque es red (AV:N) y se requiere interacción del usuario (UI:R). El código malicioso se ejecutaría en el contexto de seguridad del usuario que abrió el archivo Markdown, otorgando al atacante los mismos permisos que ese usuario.

Escenario de Ataque

1. El atacante crea un archivo Markdown (.md) que contiene hipervínculos maliciosos.
2. La víctima abre el archivo en la versión vulnerable del Bloc de Notas de Windows.
3. El Bloc de Notas renderiza el Markdown y muestra enlaces clicables.
4. Cuando la víctima hace clic en el enlace, el Bloc de Notas procesa el URI sin una validación adecuada.
5. Esto activa manejadores de protocolo (por ejemplo, ms-appinstaller://) que pueden obtener y ejecutar cargas útiles remotas, o URIs file:// que pueden lanzar directamente ejecutables locales.
6. El código malicioso se ejecuta con los mismos privilegios que el usuario conectado.

Prueba de Concepto

Aviso legal: Esta prueba de concepto se proporciona estrictamente con fines educativos y de investigación de seguridad autorizada únicamente. No la utilice contra sistemas que no posea o para los cuales no tenga permiso escrito explícito para probar. El acceso no autorizado a sistemas informáticos es ilegal y punible por ley.

La PoC demuestra dos vectores de ataque a través de enlaces Markdown manipulados:

Vector 1 - Instalación de carga útil remota mediante abuso del manejador de protocolo:

Vector 2 - Invocación de ejecutable local mediante URI de archivo:

Demostración

Remediación

• Actualice el Bloc de Notas de Windows a la compilación 11.2510 o posterior a través de Microsoft Store.
• Active las actualizaciones automáticas de aplicaciones en Configuración de Windows > Aplicaciones > Microsoft Store.
• No abra archivos .md de fuentes no confiables en el Bloc de Notas.
• No haga clic en enlaces dentro de archivos Markdown recibidos por correo electrónico o descargas no confiables.

Referencias

• MSRC - CVE-2026-20841
• NVD - CVE-2026-20841
• CVE.org - CVE-2026-20841

Aviso Legal

La información proporcionada en este repositorio es únicamente con fines educativos y de investigación de seguridad autorizada. Esta prueba de concepto se comparte para ayudar a los defensores a comprender y mitigar la vulnerabilidad. El autor no es responsable de ningún uso indebido de la información o las herramientas aquí proporcionadas. Siempre obtenga la autorización escrita adecuada antes de probar vulnerabilidades en cualquier sistema. El acceso no autorizado a sistemas informáticos es un delito penal en la mayoría de las jurisdicciones. Úselo de manera responsable y ética.