【误差通告】Notepad++ v8.8.1装置程序特权提升误差 (CVE-2025-49144)

宣布时间 2025-06-24

一、误差概述


误差名称

Notepad++ v8.8.装置程序特权提升误差

CVE   ID

CVE-2025-49144

误差类型

特权提升误差

发明时间

2025-06-24

误差评分

7.3

误差品级

高危

攻击向量

外地

所需权限

低

使用难度

低

用户交互

需要

PoC/EXP

已果真

在野使用

未发明


Notepad++是一款免费的开源文本编辑器 ，支持多种编程语言的语法高亮和自动完成 。它基于Scintilla编辑控件 ，提供强盛的功效 ，如多标签页编辑、正则表达式搜索替换、插件扩展和自界说快捷键等 。Notepad++适用于Windows系统 ，普遍用于编程、剧本编辑以及一样平常文本处置惩罚 。依附其轻量级和高效性 ，成为开发者和手艺职员的常用工具 。


2025年6月24日 ，尊龙凯官网入口集团VSRC监测到notepad-plus-plus宣布清静通告 ，披露了一个特权提升误差 。攻击者可使用不受控制的可执行文件搜索路径（EXE/DLL搜索路径）在装置历程中 ，将恶意可执行文件加载为SYSTEM权限 ，从而实现外地特权提升 。误差的POC已果真 ，攻击者可通过特定的文件路径操作触发该误差 ，进一步导致系统权限被恶意获取 。误差评分7.3分 ，误差品级高危 。


二、影响规模


Notepad++ v8.8.1


三、清静步伐


3.1 升级版本


开发团队已在 v8.8.2 版本中修复了该误差 。
下载链接：
Notepad++ 官方网站尚未宣布 v8.8.2 的正式版本 。现在可用的最新正式版本是 v8.8.1 。若是您希望实验 v8.8.2 的预宣布版本（Release Candidate） ，可以通过以下链接下载
http://download.notepad-plus-plus.org/repository/8.x/8.8.2.RC2/


3.2 暂时步伐


暂无 。


3.3 通用建议


? 按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性 。
? 增强系统和网络的会见控制 ，修改防火墙战略 ，关闭非须要的应用端口或服务 ，镌汰将危险服务（如SSH、RDP等）袒露到公网 ，镌汰攻击面 。
? 使用企业级清静产品 ，提升企业的网络清静性能 。
? 增强系统用户和权限管理 ，启用多因素认证机制和最小权限原则 ，用户和软件权限应坚持在最低限度 。
? 启用强密码战略并设置为按期修改 。


3.4 参考链接


https://drive.google.com/drive/folders/11yeUSWgqHvt4Bz5jO3ilRRfcpQZ6Gvpn
https://github.com/notepad-plus-plus/notepad-plus-plus/commit/f2346ea00d5b4d907ed39d8726b38d77c8198f30
https://github.com/notepad-plus-plus/notepad-plus-plus/security/advisories/GHSA-9vx8-v79m-6m24
https://nvd.nist.gov/vuln/detail/CVE-2025-49144