Michele Piccinni

**Nome do Software Vulnerável e Versões Afetadas** Notepad++ (versões afetadas não especificadas) **Descrição** Um problema de execução remota de código (RCE) zero-click existe devido ao path traversal. Path traversal é uma técnica que permite a um invasor acessar arquivos e diretórios armazenados fora da pasta raiz do servidor, manipulando variáveis que referenciam arquivos com sequências de ponto-ponto-barra (../). **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Notepad++ versões anteriores a 8.9.6.1 **Descrição** Existe um problema no processamento do parâmetro `commandLineInterpreter` dentro do arquivo de configuração `config.xml`. O software não neutraliza elementos especiais, o que permite que um invasor substitua o `cmd.exe` por executáveis maliciosos por meio de arquivos `config.xml` não validados, levando à execução de código arbitrário na máquina da vítima. **Recomendações** Atualizar para a versão 8.9.6.1.

**Nome do Software Vulnerável e Versões Afetadas** Notepad++ (versões afetadas não especificadas) **Descrição** Diversos problemas existem no software. O arquivo de configuração `config.xml` não neutraliza elementos especiais ao processar o parâmetro `commandLineInterpreter`. Além disso, o arquivo de configuração `shortcuts.xml` não neutraliza adequadamente elementos especiais. Ambos os problemas podem permitir que um invasor execute código arbitrário. Adicionalmente, uma leitura fora dos limites do buffer na memória no mecanismo de comunicação entre processos pode levar a uma negação de serviço (DoS), que é uma condição onde a aplicação torna-se indisponível para os usuários. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.