PT-2026-35357 · Notepad++ · Notepad++

Hazley Samsudin · Publicado 2026-04-27 · Atualizado 2026-05-25 · CVE-2026-3008

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H

Nome do Software Vulnerável e Versões Afetadas Notepad++ versões anteriores a 8.9.4

Descrição Um problema de injeção de string existe na função de busca FindInFiles devido a falhas no mecanismo de processamento de strings de formatação. A exploração bem-sucedida pode permitir que um invasor obtenha informações sensíveis de endereços de memória ou cause a falha do aplicativo (negação de serviço) por meio de um arquivo especialmente elaborado. Este risco é particularmente relevante para usuários que utilizam arquivos de localização nativeLang.xml personalizados.

Recomendações Atualize para a versão 8.9.4 ou posterior. Evite o uso de arquivos de configuração ou localização não confiáveis.

Exploit

Correção

Use of Externally-Controlled Format String

Enumeração de Fraquezas

CWE-134

Identificadores relacionados

BDU:2026-06063

CVE-2026-3008

Produtos afetados

Notepad++

Referências · 33

• 🔥 https://github.com/llgsjsm/cve-2026-3008 · Exploit
• https://github.com/notepad-plus-plus/notepad-plus-plus/issues/17960 · Nota
• https://twitter.com/lyrie_ai/status/2058756465062510641 · Publicação no Twitter
• https://twitter.com/Privacy321US/status/2048719436010377567 · Publicação no Twitter
• https://twitter.com/UpwindMDR/status/2048808269628530769 · Publicação no Twitter
• https://t.me/cveNotify/161026 · Publicação no Telegram
• https://twitter.com/UndercodeUpdate/status/2049003944358171012 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2048852253830783252 · Publicação no Twitter
• https://llgsjsm.github.io/cve-2026-3008 · Nota
• https://community.notepad-plus-plus.org/topic/27500/notepad-v8-9-4-release-candidate · Nota
• https://twitter.com/Xploitzone_01/status/2049104923548389623 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2058756463007334900 · Publicação no Twitter
• https://twitter.com/UndercodeUpdate/status/2048818395458527331 · Publicação no Twitter
• https://undercodetesting.com/critical-notepad-cve-2026-3008-hackers-can-crash-your-editor-and-leak-cpu-memory-patch-to-894-now-video · Nota
• https://t.me/CSIRT_italia/3431 · Publicação no Telegram