Funkcja expandNppEnvironmentStrs w pliku PowerEditor/src/WinControls/StaticDialog/RunDlg/RunDlg.cpp (wiersze 131–135) kopiuje nazwę zmiennej Notepad++ do bufora stosu o stałym rozmiarze (wchar_t str[MAX_PATH]) bez sprawdzania indeksu pętli. Jeśli nazwa zmiennej między znakami „$(” i „)” ma długość 260 znaków lub więcej, zapis przepełnia bufor, uszkadzając sąsiednie dane stosu.
Numer CVE
CVE-2026-52886
Krytyczność
7.8/10
CVSS
AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Opis
Gdy Notepad++ przywraca plik sesji (tryb migawki), weryfikuje atrybut backupFilePath z pliku session.xml za pomocą funkcji std::wstring::starts_with() pod kątem oczekiwanej ścieżki do katalogu kopii zapasowej. Jest to porównanie prefiksu ciągu znaków bez normalizacji ścieżki. Ścieżka dostarczona przez atakującego, która zaczyna się od ciągu znaków katalogu kopii zapasowej, ale zawiera sekwencje ..\, przechodzi kontrolę. Po otwarciu pliku system operacyjny rozpoznaje odwołania do katalogu nadrzędnego, odczytując dowolny plik spoza katalogu kopii zapasowej.
Numer CVE
CVE-2026-57233
Krytyczność
8.1/10
CVSS
AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
Opis
Procedura rozpakowywania plików ZIP w WinGup (decompress() w kodzie instalatora wtyczki WinGup) nie weryfikuje, czy ścieżki do wyodrębnionych plików pozostają w docelowym katalogu. Złośliwie spreparowany pakiet wtyczki (archiwum ZIP) może zawierać wpis, którego nazwa pliku zawiera sekwencje przechodzenia przez ścieżkę (np. ../mimeTools/mimeTools.dll). Po rozpakowaniu wpis ten jest zapisywany poza docelowym folderem wtyczki i może nadpisać bibliotekę DLL należącą do innej, już zainstalowanej wtyczki. Jeśli Notepad++ następnie załaduje tę bibliotekę DLL, w procesie Notepad++ zostanie wykonany kod kontrolowany przez atakującego.
+48 22242 1996
+48 571 207 996
cert@pse.pl 
klucz publiczny