Notepad++ - CVE-2026-3008

Date de publication :

Il s'agit d'une vulnérabilité d'injection de chaîne de format dans Notepad++.

Notepad++ est un éditeur de texte et de code source libre pour Windows. Il prend en charge la coloration syntaxique pour de nombreux langages de programmation et embarque un moteur de recherche avancé avec affichage des résultats dans un panneau dédié.

La chaîne issue de l'attribut find-result-hits du fichier nativeLang.xml est passée sans validation comme argument de format à wsprintfW. Un attaquant peut substituer ce fichier par un pack de langue malveillant contenant des spécificateurs (%s, %08lx).

Elle permet une atteinte à la confidentialité des données par fuite de la pile et des registres, ainsi qu'un déni de service par crash de l'application.

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

•   Atteinte à la confidentialité des données
•   Déni de service (à distance)

Exploitation

La vulnérabilité exploitée est du type
CWE-134 : Use of Externally-Controlled Format String

Détails sur l'exploitation
•   Vecteur d'attaque : Local
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Oui
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Une preuve de concept est disponible en sources ouvertes.

Systèmes ou composants affectés

Notepad++ version 8.9.3 et antérieures

Solutions ou recommandations

Notepad++ version 8.9.4 et supérieures