CVE-2026-73250
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w instalatorze Notepad++ dla Windows 11 x64 i ARM64 przed wersją 8.9.7 umożliwia wykonanie poleceń PowerShell w kontekście instalatora poprzez wstrzyknięcie składni podwyrażeń w ścieżce instalacji, gdy wybrano komponent menu kontekstowego.
Ocena ryzyka
Atakujący może wpłynąć na ścieżkę instalacji, co może prowadzić do wykonania dowolnego kodu podczas instalacji, potencjalnie przejmując kontrolę nad systemem.
Rekomendacja
Zaktualizuj Notepad++ do wersji 8.9.7 lub nowszej. Podczas instalacji używaj zaufanych ścieżek i unikaj wybierania komponentu menu kontekstowego, jeśli nie jest konieczny.
Oryginalny opis (angielski, źródło NVD)
Notepad++ is a free and open-source source code editor. Prior to 8.9.7, the Notepad++ Windows 11 x64 and ARM64 installer passes the attacker-influenced installation directory `$INSTDIR` from PowerEditor/installer/nppSetup.nsi into a PowerShell `-Command` string used by RegisterMSIX to invoke Add-AppxPackage, allowing PowerShell subexpression syntax such as `$()` in the installation path to execute commands in the installer's security context when the context menu component is selected. This issue is fixed in version 8.9.7.