CVE-2026-85288 in Notepad++

摘要

由 VulDB • 2026-09-22

Notepad++ 是一款免费且开源的源代码编辑器。在版本 8.9.8 之前，Notepad++ 未能完全执行 shortcuts.xml HMAC 验证，因为 WM_MACRODLGRUNMACRO（“多次运行宏”入口点）调用 macroPlayback() 时未使用 command() 中所采用的验证机制。因此，通过 Macro 菜单或快捷键被阻止的篡改后的 shortcuts.xml 宏可以通过多运行对话框执行，并以当前用户上下文身份调用内部 Notepad++ 命令，包括启动外部程序的命令。此问题已在版本 8.9.8 中修复。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-09-03
• 披露: 2026-09-22
• 管理: 已接受
• 条目: VDB-408560
• CPE: 准备好
• CWE: CWE-284 (已确认)
• CVSS: 6.7 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低
• 部门: Homeoffice, Police, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-85288
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-85288
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-85288/