【误差通告】Notepad++ v8.8.1装置程序特权提升误差 (CVE-2025-49144)

宣布时间 2025-06-24

一、误差概述


误差名称

Notepad++ v8.8.装置程序特权提升误差

CVE   ID

CVE-2025-49144

误差类型

特权提升误差

发明时间

2025-06-24

误差评分

7.3

误差品级

高危

攻击向量

外地

所需权限

低

使用难度

低

用户交互

需要

PoC/EXP

已果真

在野使用

未发明


Notepad++是一款免费的开源文本编辑器，，，， ，，支持多种编程语言的语法高亮和自动完成。。。。。。。它基于Scintilla编辑控件，，，， ，，提供强盛的功效，，，， ，，如多标签页编辑、正则表达式搜索替换、插件扩展和自界说快捷键等。。。。。。。Notepad++适用于Windows系统，，，， ，，普遍用于编程、剧本编辑以及一样平常文本处置惩罚。。。。。。。依附其轻量级和高效性，，，， ，，成为开发者和手艺职员的常用工具。。。。。。。


2025年6月24日，，，， ，，鉴黑担保网集团VSRC监测到notepad-plus-plus宣布清静通告，，，， ，，披露了一个特权提升误差。。。。。。。攻击者可使用不受控制的可执行文件搜索路径（EXE/DLL搜索路径）在装置历程中，，，， ，，将恶意可执行文件加载为SYSTEM权限，，，， ，，从而实现外地特权提升。。。。。。。误差的POC已果真，，，， ，，攻击者可通过特定的文件路径操作触发该误差，，，， ，，进一步导致系统权限被恶意获取。。。。。。。误差评分7.3分，，，， ，，误差品级高危。。。。。。。


二、影响规模


Notepad++ v8.8.1


三、清静步伐


3.1 升级版本


开发团队已在 v8.8.2 版本中修复了该误差。。。。。。。
下载链接：
Notepad++ 官方网站尚未宣布 v8.8.2 的正式版本。。。。。。。现在可用的最新正式版本是 v8.8.1。。。。。。。若是您希望实验 v8.8.2 的预宣布版本（Release Candidate），，，， ，，可以通过以下链接下载
http://download.notepad-plus-plus.org/repository/8.x/8.8.2.RC2/


3.2 暂时步伐


暂无。。。。。。。


3.3 通用建议


? 按期更新系统补�。。。。。。。�，，， ，，镌汰系统误差，，，， ，，提升效劳器的清静性。。。。。。。
? 增强系统和网络的会见控制，，，， ，，修改防火墙战略，，，， ，，关闭非须要的应用端口或效劳，，，， ，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，， ，，镌汰攻击面。。。。。。。
? 使用企业级清静产品，，，， ，，提升企业的网络清静性能。。。。。。。
? 增强系统用户和权限治理，，，， ，，启用多因素认证机制和最小权限原则，，，， ，，用户和软件权限应坚持在最低限度。。。。。。。
? 启用强密码战略并设置为按期修改。。。。。。。


3.4 参考链接


https://drive.google.com/drive/folders/11yeUSWgqHvt4Bz5jO3ilRRfcpQZ6Gvpn
https://github.com/notepad-plus-plus/notepad-plus-plus/commit/f2346ea00d5b4d907ed39d8726b38d77c8198f30
https://github.com/notepad-plus-plus/notepad-plus-plus/security/advisories/GHSA-9vx8-v79m-6m24
https://nvd.nist.gov/vuln/detail/CVE-2025-49144