Notepad++: Boşluklar kötü amaçlı kod ve komutların girmesine izin verir

Notepad++ için başka bir güncelleme daha mevcut. İkisi yüksek riskli olarak sınıflandırılan ve saldırganların gizlice içeri girip komutları ve hatta kötü amaçlı kodları çalıştırmasına olanak tanıyan üç güvenlik açığını kapatır.

Notepad++ v8.9.6.1 sürüm duyurusunda geliştirici Don Ho, yeni sürümün üç güvenlik açığını giderdiğini yazıyor. “config.xml” yapılandırma dosyasındaki “commandLineInterpreter” parametresi için herhangi bir kısıtlama bulunmadığından, kullanıcı haklarına sahip saldırganlar, girişi ayarlayabilir veya kötü amaçlı .lnk kullanarak kendi dosyalarını başlatabilirler. Bu dosyanın başlaması için kurbanların “Dosya” – “Geçerli klasörü aç” seçeneğine gitmesi ve ardından “Komut İstemi (cmd)” seçeneğini seçmesi gerekiyor. Çözüm, izin verilen girişleri cmd.exe, powershell.exe veya bash.exe ile sınırlamak ve yolu kontrol edip kullanıcılara sormaktır (CVE-2026-48778, CVSS) 7.8risk”yüksek“).

Benzer bir güvenlik açığı ““içinde etiketle”” “shortcuts.xml” dosyasında. Notepad++ menüsünde “Çalıştır” altında ilgili girişe tıklandıktan sonra buraya girilen her şeyi yürütür. Yürütmeden önceki kullanıcı sorgusu da burada yardımcı olacaktır veya program GUI'si (CVE-2026-48800, CVSS) aracılığıyla oluşturulmamış yeni girişler ortaya çıkarsa bir uyarı verilecektir. 7.8risk”yüksek“). Üçüncü güvenlik açığı, yerel işlemlerin Notepad++'a “WM_COPYDATA” mesajları göndermesine izin verir; Hazırlanmış isteklerin kullanılması Notepad++'ın çökmesine neden olur ve hizmet reddi mümkündür (CVE-2026-48770, CVSS) 5.0risk”orta“).

Güncellenmiş yazılım sürümü

Yeni sürüm, Notepad++ proje indirme sayfasından çeşitli formatlarda indirilebilir. Kullanıcıların şu anda güncellenen yazılımı manuel olarak indirip yüklemesi gerekiyor. Notepad++ v8.9.5'in entegre güncelleme mekanizması, yazılımın güncel olduğunu bildiriyor – Ho henüz yeni sürümleri yayınlamadı (v8.9.6 sürümü dahil).

Geçen haftanın sonunda Don Ho, Notepad++'ın v8.9.6 sürümünü yayınladı. Yükleyicideki bir güvenlik açığını kapattı.

(DMK)