CVE-2026-52885
Publiée le 2026-06-26 · Dernière modification le 2026-06-29
Les versions de Notepad++ antérieures à la 8.9.6.4 sont vulnérables à une condition de concurrence (race condition) qui permet à un attaquant disposant d'un accès local en écriture au fichier `shortcuts.xml` d'exécuter du code arbitraire sur votre système. En remplaçant un fichier de configuration légitime par un fichier malveillant à un instant précis, un attaquant peut contourner les vérifications d'intégrité du logiciel. Comme cela nécessite un accès local aux fichiers et une grande précision technique pour synchroniser l'attaque, l'opération est difficile à réaliser, mais elle entraîne une compromission complète du système en cas de succès.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Notepad++ is a free and open-source source code editor. Prior to 8.9.6.4, NppCommands.cpp checks the HMAC of the on-disk shortcuts.xml at the moment a user command fires (Time-of-Check). However, the command payload is taken from the in-memory _userCommands vector, which is populated at application startup and never re-synchronized with the on-disk file (Time-of-Use). Swapping shortcuts.xml between startup and command execution causes the HMAC check to validate a clean file while a malicious command runs. An attacker with write access to shortcuts.xml places a malicious version on disk before launch, then immediately restores the legitimate file. The HMAC check at execution time validates the restored legitimate file (check passes), while the malicious payload executes from memory. This vulnerability is fixed in 8.9.6.4.