CVE-2025-15556highbajo ataqueCWE-494

CVE-2025-15556: fallo de gravedad alta en notepad-plus-plus

Notepad++ < 8.8.9 WinGUp Updater Lacks Update Integrity Verification

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear notepad-plus-plus+ Monitorear Notepad++

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

71Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 7.7epss 1.7%
de la publicación al arma6 días
Publicada en NVD3 feb
1ª PoC+6d
CISA KEV+9d
Acción exigida por CISAplazo federal: 2026-03-05

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Notepad++ antes de la versión 8.8.9 no verifica que las actualizaciones sean legítimas antes de instalarlas. Un atacante en la red podría interceptar la actualización y reemplazarla con software malicioso que se ejecuta con tus permisos.

Detalle técnico

El actualizador WinGUp en Notepad++ < 8.8.9 no verifica criptográficamente los metadatos e instaladores, permitiendo que un atacante man-in-the-middle intercepte el tráfico de actualización y redirija a un binario malicioso. La explotación requiere acceso a nivel de red para interceptar la conexión, resultando en ejecución arbitraria de código con privilegios del usuario.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Notepad++ versions prior to 8.8.9, when using the WinGUp updater, contain an update integrity verification vulnerability where downloaded update metadata and installers are not cryptographically verified. An attacker able to intercept or redirect update traffic can cause the updater to download and execute an attacker-controlled installer, resulting in arbitrary code execution with the privileges of the user.
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
notepad-plus-plus · notepad-plus-plus
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — notepad-plus-plus

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-32168HIGHnotepad-plus-plus - DLL HijackingEPSS 0.8%CVE-2025-49144HIGHNotepad++ Privilege Escalation in Installer via Uncontrolled Executable Search PathEPSS 0.7%CVE-2026-48778HIGHNotepad++: Arbitrary Code Execution via config.xml commandLineInterpreterEPSS 0.6%CVE-2023-40031HIGHNotepad++ vulnerable to heap buffer write overflow in Utf8_16_Read::convertEPSS 0.5%CVE-2026-57233HIGHNotepad++: Path Traversal (Zip Slip) in WinGup Plugin ExtractionEPSS 0.5%CVE-2023-40164MEDIUMNotepad++ global buffer read overflow in nsCodingStateMachine::NextStateEPSS 0.5%