Riepilogo esecutivo

La neutralizzazione impropria di elementi speciali utilizzati in un comando ('iniezione di comandi') nell'app Blocco note di Windows consente a un utente malintenzionato non autorizzato di eseguire codice su una rete.

La moderna app Blocco note di Windows (distribuita tramite Microsoft Store) ha introdotto il supporto al rendering Markdown, che include collegamenti ipertestuali cliccabili. La vulnerabilità esiste perché Blocco note non riesce a convalidare e sanificare correttamente gli schemi URI all'interno dei collegamenti Markdown prima di elaborarli. Un utente malintenzionato può creare un file .md dannoso contenente collegamenti appositamente formati che, quando cliccati dall'utente, attivano gestori di protocollo non verificati per caricare ed eseguire contenuti remoti.

Metriche CVSS v3.1

Metriche di base

Metriche temporali

FAQ

Come potrebbe un utente malintenzionato sfruttare questa vulnerabilità?

Un utente malintenzionato potrebbe indurre un utente a cliccare un collegamento dannoso all'interno di un file Markdown aperto in Blocco note, causando l'avvio da parte dell'applicazione di protocolli non verificati che caricano ed eseguono file remoti.

Qual è il contesto target dell'esecuzione di codice remoto?

Secondo la metrica CVSS, il vettore di attacco è la rete (AV:N) ed è richiesta l'interazione dell'utente (UI:R). Il codice dannoso verrebbe eseguito nel contesto di sicurezza dell'utente che ha aperto il file Markdown, dando all'utente malintenzionato gli stessi permessi di quell'utente.

Scenario di attacco

1. L'utente malintenzionato crea un file Markdown (.md) contenente collegamenti ipertestuali dannosi.
2. La vittima apre il file nella versione vulnerabile di Blocco note di Windows.
3. Blocco note esegue il rendering del Markdown e visualizza collegamenti cliccabili.
4. Quando la vittima clicca il collegamento, Blocco note elabora l'URI senza una corretta convalida.
5. Ciò attiva gestori di protocollo (ad es. ms-appinstaller://) che possono recuperare ed eseguire payload remoti, oppure URI file:// che possono avviare direttamente eseguibili locali.
6. Il codice dannoso viene eseguito con gli stessi privilegi dell'utente connesso.

Proof of Concept

Disclaimer: Questo proof of concept è fornito esclusivamente a scopo educativo e per ricerche di sicurezza autorizzate. Non utilizzarlo contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione scritta per il test. L'accesso non autorizzato a sistemi informatici è illegale e punibile per legge.

Il PoC dimostra due vettori di attacco tramite collegamenti Markdown appositamente creati:

Vettore 1 - Installazione di payload remoto tramite abuso del gestore di protocollo:

Vettore 2 - Invocazione di eseguibile locale tramite URI file:

Demo

Remediation

• Aggiornare Blocco note di Windows alla build 11.2510 o successiva tramite Microsoft Store.
• Abilitare aggiornamenti automatici delle app in Impostazioni di Windows > App > Microsoft Store.
• Non aprire file .md provenienti da fonti non attendibili in Blocco note.
• Non cliccare collegamenti all'interno di file Markdown ricevuti via email o download non attendibili.

Riferimenti

• MSRC - CVE-2026-20841
• NVD - CVE-2026-20841
• CVE.org - CVE-2026-20841

Disclaimer legale

Le informazioni fornite in questo repository sono esclusivamente a scopo educativo e per ricerche di sicurezza autorizzate. Questo proof of concept è condiviso per aiutare i difensori a comprendere e mitigare la vulnerabilità. L'autore non è responsabile per qualsiasi uso improprio delle informazioni o degli strumenti qui forniti. Ottenere sempre un'adeguata autorizzazione scritta prima di testare vulnerabilità su qualsiasi sistema. L'accesso non autorizzato a sistemi informatici è un reato penale nella maggior parte delle giurisdizioni. Utilizzare in modo responsabile ed etico.