【误差通告】Notepad++ v8.8.1装置程序特权提升误差 (CVE-2025-49144)

宣布时间 2025-06-24

一、误差概述


误差名称

Notepad++ v8.8.装置程序特权提升误差

CVE   ID

CVE-2025-49144

误差类型

特权提升误差

发明时间

2025-06-24

误差评分

7.3

误差品级

高危

攻击向量

外地

所需权限

低

使用难度

低

用户交互

需要

PoC/EXP

已果真

在野使用

未发明


Notepad++是一款免费的开源文本编辑器，，，，支持多种编程语言的语法高亮和自动完成。 。。。。它基于Scintilla编辑控件，，，，提供强盛的功效，，，，如多标签页编辑、正则表达式搜索替换、插件扩展和自界说快捷键等。 。。。。Notepad++适用于Windows系统，，，，普遍用于编程、剧本编辑以及一样平常文本处置惩罚。 。。。。依附其轻量级和高效性，，，，成为开发者和手艺职员的常用工具。 。。。。


2025年6月24日，，，，鉴黑担保网集团VSRC监测到notepad-plus-plus宣布清静通告，，，，披露了一个特权提升误差。 。。。。攻击者可使用不受控制的可执行文件搜索路径（EXE/DLL搜索路径）在装置历程中，，，，将恶意可执行文件加载为SYSTEM权限，，，，从而实现外地特权提升。 。。。。误差的POC已果真，，，，攻击者可通过特定的文件路径操作触发该误差，，，，进一步导致系统权限被恶意获取。 。。。。误差评分7.3分，，，，误差品级高危。 。。。。


二、影响规模


Notepad++ v8.8.1


三、清静步伐


3.1 升级版本


开发团队已在 v8.8.2 版本中修复了该误差。 。。。。
下载链接：
Notepad++ 官方网站尚未宣布 v8.8.2 的正式版本。 。。。。现在可用的最新正式版本是 v8.8.1。 。。。。若是您希望实验 v8.8.2 的预宣布版本（Release Candidate），，，，可以通过以下链接下载
http://download.notepad-plus-plus.org/repository/8.x/8.8.2.RC2/


3.2 暂时步伐


暂无。 。。。。


3.3 通用建议


? 按期更新系统补丁，，，，镌汰系统误差，，，，提升效劳器的清静性。 。。。。
? 增强系统和网络的会见控制，，，，修改防火墙战略，，，，关闭非须要的应用端口或效劳，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，镌汰攻击面。 。。。。
? 使用企业级清静产品，，，，提升企业的网络清静性能。 。。。。
? 增强系统用户和权限治理，，，，启用多因素认证机制和最小权限原则，，，，用户和软件权限应坚持在最低限度。 。。。。
? 启用强密码战略并设置为按期修改。 。。。。


3.4 参考链接


https://drive.google.com/drive/folders/11yeUSWgqHvt4Bz5jO3ilRRfcpQZ6Gvpn
https://github.com/notepad-plus-plus/notepad-plus-plus/commit/f2346ea00d5b4d907ed39d8726b38d77c8198f30
https://github.com/notepad-plus-plus/notepad-plus-plus/security/advisories/GHSA-9vx8-v79m-6m24
https://nvd.nist.gov/vuln/detail/CVE-2025-49144