CVE-2026-52885

总结

Notepad++ 是一款免费且开源的源代码编辑器。在 8.9.6.4 版本之前，NppCommands.cpp 在用户命令触发时（检查时刻）校验磁盘上 shortcuts.xml 的 HMAC。然而，命令负载取自内存中的 _userCommands 向量，该向量在应用程序启动时填充，且从未与磁盘上的文件重新同步（使用时刻）。在启动与命令执行之间替换 shortcuts.xml，会导致 HMAC 校验通过一个干净的文件，而恶意命令却得以执行。具有 shortcuts.xml 写入权限的攻击者可在启动前将恶意版本放置到磁盘上，然后立即恢复合法文件。执行时的 HMAC 校验会验证已恢复的合法文件（校验通过），而恶意负载则从内存中执行。此漏洞已在 8.9.6.4 版本中修复。

• CVE-2026-52885PoC

  CVE-2026-52885 的技术分析：Notepad++ v8.9.6.2 中存在一个 TOCTOU 竞态条件，允许通过 HMAC 完整性绕过实现任意命令执行。包括根本原因、攻击场景、PoC 及补丁分析。