Notepad++ - CVE-2026-3008
Date de publication :
Il s'agit d'une vulnérabilité d'injection de chaîne de format dans Notepad++.
Notepad++ est un éditeur de texte et de code source libre pour Windows. Il prend en charge la coloration syntaxique pour de nombreux langages de programmation et embarque un moteur de recherche avancé avec affichage des résultats dans un panneau dédié.
La chaîne issue de l'attribut find-result-hits du fichier nativeLang.xml est passée sans validation comme argument de format à wsprintfW. Un attaquant peut substituer ce fichier par un pack de langue malveillant contenant des spécificateurs (%s, %08lx).
Elle permet une atteinte à la confidentialité des données par fuite de la pile et des registres, ainsi qu'un déni de service par crash de l'application.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Atteinte à la confidentialité des données
• Déni de service (à distance)
Exploitation
CWE-134 : Use of Externally-Controlled Format String
Détails sur l'exploitation
• Vecteur d'attaque : Local
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Oui
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
Notepad++ version 8.9.3 et antérieures