执行摘要

Windows 记事本应用对命令中特殊元素的不当中和（'命令注入'）允许未经授权的攻击者通过网络执行代码。

现代 Windows 记事本应用（通过 Microsoft Store 分发）引入了 Markdown 渲染支持，其中包括可点击的超链接。该漏洞的存在是因为记事本在处理 Markdown 链接中的 URI 方案之前，未能正确验证和清理这些方案。攻击者可以构造一个包含特殊格式链接的恶意 .md 文件，当用户点击这些链接时，会触发未经验证的协议处理程序来加载并执行远程内容。

CVSS v3.1 指标

基础指标

时间指标

常见问题解答

攻击者如何利用此漏洞？

攻击者可以诱骗用户点击在记事本中打开的 Markdown 文件中的恶意链接，导致应用程序启动未经验证的协议，从而加载并执行远程文件。

远程代码执行的目标上下文是什么？

根据 CVSS 指标，攻击向量为网络（AV:N），且需要用户交互（UI:R）。恶意代码将在打开 Markdown 文件的用户的安全上下文中执行，使攻击者获得与该用户相同的权限。

攻击场景

1. 攻击者构造一个包含恶意超链接的 Markdown（.md）文件。
2. 受害者在存在漏洞的 Windows 记事本版本中打开该文件。
3. 记事本渲染 Markdown 并显示可点击的链接。
4. 当受害者点击链接时，记事本在未进行正确验证的情况下处理该 URI。
5. 这会触发协议处理程序（例如 ms-appinstaller://），从而获取并执行远程载荷，或触发可直接启动本地可执行文件的 file:// URI。
6. 恶意代码以当前登录用户的相同权限运行。

概念验证

免责声明： 此概念验证仅严格用于教育和授权的安全研究目的。请勿将其用于您不拥有或未经明确书面许可进行测试的系统。未经授权访问计算机系统是违法的，并将受到法律制裁。

该 PoC 通过构造的 Markdown 链接演示了两种攻击向量：

向量 1 - 通过滥用协议处理程序进行远程载荷安装：

向量 2 - 通过文件 URI 调用本地可执行文件：

演示

修复措施

• 更新 Windows 记事本至 11.2510 或更高版本，可通过 Microsoft Store 获取。
• 在 Windows 设置 > 应用 > Microsoft Store 中启用自动应用更新。
• 不要在记事本中打开来自不受信任来源的 .md 文件。
• 不要点击通过电子邮件或不受信任的下载收到的 Markdown 文件中的链接。

参考资料

• MSRC - CVE-2026-20841
• NVD - CVE-2026-20841
• CVE.org - CVE-2026-20841

法律免责声明

本仓库中提供的信息仅用于教育和授权的安全研究目的。此概念验证旨在帮助防御者理解和缓解该漏洞。作者对此处提供的信息或工具的任何滥用不承担任何责任。在对任何系统进行漏洞测试之前，务必获得适当的书面授权。在大多数司法管辖区，未经授权访问计算机系统属于刑事犯罪。请负责任且合乎道德地使用。