7.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 12 февруари 2026
Атакува се в момента
9 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката не може да се автоматизира
Описание
Оригинално описание
Notepad++ versions prior to 8.8.9, when using the WinGUp updater, contain an update integrity verification vulnerability where downloaded update metadata and installers are not cryptographically verified. An attacker able to intercept or redirect update traffic can cause the updater to download and execute an attacker-controlled installer, resulting in arbitrary code execution with the privileges of the user.
Засегнати продукти
- notepad-plus-plus notepad-plus-plus: преди 8.8.9
Вид слабост
История
- 3 февруари 2026 Публикувано
Други уязвимости в notepad-plus-plus notepad-plus-plus
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2025-15556
- https://nvd.nist.gov/vuln/detail/CVE-2025-15556
- https://community.notepad-plus-plus.org/topic/27298/notepad-v8-8-9-vulnerability-fix
- https://notepad-plus-plus.org/news/hijacked-incident-info-update/
- https://github.com/notepad-plus-plus/notepad-plus-plus/commit/bcf2aa68ef414338d717e20e059459570ed6c5ab
- https://github.com/notepad-plus-plus/wingup/commit/ce0037549995ed0396cc363544d14b3425614fdb
- https://www.vulncheck.com/advisories/notepad-plus-plus-wingup-updater-lacks-update-integrity-verification
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-15556
- https://notepad-plus-plus.org//news//clarification-security-incident/