BDU:2025-15900

Опубликовано: 09 дек. 2025

Источник: fstec

CVSS3: 7.5

CVSS2: 7.6

EPSS Низкий

Описание

Уязвимость программного средства автоматического обновления WinGUp текстового редактора Notepad++ связана с недостаточной проверкой подлинности файлов обновлений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного исполняемого файла

Вендор

Don Ho

Наименование ПО

Notepad++

Версия ПО

до 8.8.9 (Notepad++)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- отключение механизма автоматического обновления уязвимого программного обеспечения;

- верификация файлов обновления программного обеспечения (с использованием методического документа "Методика тестирования обновлений безопасности программных, программно-аппаратных средств" (утвержден 28 октября 2022 года));

- ограничение возможности открытия файлов, полученных из недоверенных источников;

- использование антивирусного программного обеспечения для проверки файлов, полученных из недоверенных источников;

- использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников;

- использование средств межсетевого экранирования для ограничения доступа к уязвимому программному обеспечению;

- использование SIEM-систем для отслеживания событий, связанных с обновлением уязвимого программного обеспечения;

- ограничение доступа из внешних сетей (Интернет).

Использование рекомендаций производителя:

https://notepad-plus-plus.org/news/v889-released/

Обновление программного обеспечения до версии 8.8.9 и выше

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://notepad-plus-plus.org/news/v889-released/

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-15556
CVE

EPSS

Процентиль: 8%

0.00029

Низкий

7.5 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVE-2025-15556

nvd

5 дней назад

Notepad++ versions prior to 8.8.9, when using the WinGUp updater, contain an update integrity verification vulnerability where downloaded update metadata and installers are not cryptographically verified. An attacker able to intercept or redirect update traffic can cause the updater to download and execute an attacker-controlled installer, resulting in arbitrary code execution with the privileges of the user.

GHSA-cqx4-h5ph-3xj9

github