【误差通告】Notepad++ v8.8.1装置程序特权提升误差 (CVE-2025-49144)

宣布时间 2025-06-24

一、误差概述


误差名称

Notepad++ v8.8.装置程序特权提升误差

CVE   ID

CVE-2025-49144

误差类型

特权提升误差

发明时间

2025-06-24

误差评分

7.3

误差品级

高危

攻击向量

外地

所需权限

低

使用难度

低

用户交互

需要

PoC/EXP

已果真

在野使用

未发明


Notepad++是一款免费的开源文本编辑器，支持多种编程语言的语法高亮和自动完成。它基于Scintilla编辑控件，提供强盛的功效，如多标签页编辑、正则表达式搜索替换、插件扩展和自界说快捷键等。Notepad++适用于Windows系统，普遍用于编程、剧本编辑以及一样平常文本处置惩罚。依附其轻量级和高效性，成为开发者和手艺职员的常用工具。


2025年6月24日，尊龙凯时集团VSRC监测到notepad-plus-plus宣布清静通告，披露了一个特权提升误差。攻击者可使用不受控制的可执行文件搜索路径（EXE/DLL搜索路径）在装置历程中，将恶意可执行文件加载为SYSTEM权限，从而实现外地特权提升。误差的POC已果真，攻击者可通过特定的文件路径操作触发该误差，进一步导致系统权限被恶意获取。误差评分7.3分，误差品级高危。


二、影响规模


Notepad++ v8.8.1


三、清静步伐


3.1 升级版本


开发团队已在 v8.8.2 版本中修复了该误差。
下载链接：
Notepad++ 官方网站尚未宣布 v8.8.2 的正式版本。现在可用的最新正式版本是 v8.8.1。若是您希望实验 v8.8.2 的预宣布版本（Release Candidate），可以通过以下链接下载
http://download.notepad-plus-plus.org/repository/8.x/8.8.2.RC2/


3.2 暂时步伐


暂无。


3.3 通用建议


? 按期更新系统补丁，镌汰系统误差，提升服务器的清静性。
? 增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面。
? 使用企业级清静产品，提升企业的网络清静性能。
? 增强系统用户和权限治理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度。
? 启用强密码战略并设置为按期修改。


3.4 参考链接


https://drive.google.com/drive/folders/11yeUSWgqHvt4Bz5jO3ilRRfcpQZ6Gvpn
https://github.com/notepad-plus-plus/notepad-plus-plus/commit/f2346ea00d5b4d907ed39d8726b38d77c8198f30
https://github.com/notepad-plus-plus/notepad-plus-plus/security/advisories/GHSA-9vx8-v79m-6m24
https://nvd.nist.gov/vuln/detail/CVE-2025-49144