개요#

Notepad++가 세션을 복원할 때 session.xml의 backupFilePath를 정규화하지 않은 채 문자열 접두사만 검사해, 백업 디렉터리 밖의 임의 파일을 읽을 수 있는 취약점을 발견했습니다.

공격자가 session.xml에 백업 디렉터리로 시작하면서 ..\가 포함된 경로를 삽입하면 std::wstring::starts_with() 검사를 통과합니다. 이후 Windows가 실제 파일을 열 때 상위 디렉터리 참조를 해석하면서 사용자 권한으로 읽을 수 있는 파일이 Notepad++ 편집기 탭에 로드됩니다.

공개 GHSA의 패키지 메타데이터와 연구 저장소에는 영향 범위가 < v8.9.6.4, 패치 버전이 v8.9.7로 함께 표기되어 있습니다. 본문은 최종 CVE 레코드의 영향 범위인 < v8.9.7을 기준으로 작성했습니다.

배경: Notepad++의 세션 복원#

Notepad++는 종료 당시 열려 있던 탭과 저장되지 않은 변경 사항을 session.xml에 기록합니다. 스냅샷 모드가 활성화되어 있으면 각 <File> 항목의 backupFilePath를 이용해 백업 파일을 다시 불러옵니다.

정상적인 backupFilePath는 Notepad++ 사용자 경로 아래의 backup 디렉터리를 가리켜야 합니다.

취약점 분석: starts_with() 접두사 검사 우회#

경로 문자열에는 동일한 위치를 여러 형태로 표현할 수 있습니다. 예를 들어 다음 두 값은 문자열로는 다르지만 Windows가 해석한 최종 위치는 같습니다.

1
C:\lab\npp\backup\..\..\..\Windows\System32\drivers\etc\hosts
2
C:\Windows\System32\drivers\etc\hosts

취약한 코드는 첫 번째 문자열이 C:\lab\npp\backup\으로 시작한다는 사실만 확인합니다. 따라서 접두사 검사는 통과하지만, 파일을 여는 시점에는 ..\가 해석되어 백업 디렉터리 밖의 파일에 접근하게 됩니다.

검사한 경로 표현과 실제 사용한 경로 표현이 다릅니다.

1
const wchar_t* pBackupFilePath = wmc.char2wchar(
2
    NppXml::attribute(childNode, "backupFilePath"), CP_UTF8
3
);
4
std::wstring currentBackupFilePath =
5
    NppParameters::getInstance().getUserPath() + L"\\backup\\";
6

7
if (pBackupFilePath)
8
{
9
    std::wstring backupFilePath = pBackupFilePath;
10
    if (!backupFilePath.starts_with(currentBackupFilePath))
11
    {
12
        // reconstruct backupFilePath
13
        wchar_t* fn = ::PathFindFileNameW(pBackupFilePath);
14
        currentBackupFilePath += fn;
15
        pBackupFilePath = currentBackupFilePath.c_str();
16
    }
17
}
18

19
sessionFileInfo sfi(
20
    wstrFileName.c_str(), wstrLangName.c_str(), encoding,
21
    isUserReadOnly, isPinned, isUntitleTabRenamed,
22
    position, pBackupFilePath, fileModifiedTimestamp, mapPosition
23
);

공격 시나리오#

1
<backupDir>\..\..\..\Windows\System32\drivers\etc\hosts

영향#

SSH 개인 키, .env, 애플리케이션 설정 파일, 자격 증명 관련 파일 등 Notepad++ 실행 사용자에게 읽기 권한이 있는 데이터가 편집기 탭에 노출될 수 있습니다.

PoC#

재현 절차와 PowerShell PoC는 다음 자료에 공개되어 있습니다.

• v3s9er/CVE-2026-52886
• 공식 GHSA의 poc_path_traversal.ps1

패치 분석#

v8.9.7에 포함된 패치 커밋 7e66f36은 접두사를 검사하기 전에 PathCchCanonicalize()로 입력 경로를 정규화합니다.

1
const wchar_t* pBackupFilePath = wmc.char2wchar(
2
    NppXml::attribute(childNode, "backupFilePath"), CP_UTF8
3
);
4
wchar_t normalizedBackupFilePath[MAX_PATH]{};
5

6
if (pBackupFilePath)
7
{
8
    ::PathCchCanonicalize(
9
        normalizedBackupFilePath, MAX_PATH, pBackupFilePath
10
    );
11
}
12

13
std::wstring currentBackupFilePath =
14
    NppParameters::getInstance().getUserPath() + L"\\backup\\";
15

16
if (normalizedBackupFilePath[0])
17
{
18
    std::wstring backupFilePath = normalizedBackupFilePath;
19
    if (!backupFilePath.starts_with(currentBackupFilePath))
20
    {
21
        wchar_t* fn = ::PathFindFileNameW(normalizedBackupFilePath);
22
        currentBackupFilePath += fn;
23
        StringCchCopyW(
24
            normalizedBackupFilePath,
25
            MAX_PATH,
26
            currentBackupFilePath.c_str()
27
        );
28
    }
29
}

정규화 과정에서 ..\가 먼저 제거되므로, 백업 디렉터리 밖을 가리키는 실제 경로는 더 이상 허용된 접두사로 시작하지 않습니다. 검사를 통과하지 못한 경로는 파일명만 유지한 채 정상 백업 디렉터리 아래로 재구성됩니다.

검사와 사용이 동일한 정규화 경로를 기준으로 동작하면서 접두사 검사 우회가 차단됩니다.

공개 타임라인#

마무리#

이번 취약점은 경로의 문자열 형태가 아니라 정규화된 최종 위치를 검증해야 한다는 원칙을 보여줍니다. starts_with() 같은 접두사 비교는 입력 경로에 ..\, 중복 구분자, 상대 경로 표현이 남아 있다면 보안 경계로 사용할 수 없습니다.

경로 검증과 실제 파일 접근이 같은 정규화 결과를 사용하도록 수정하면서 취약점이 해결됐습니다. 개발팀의 대응에 감사드립니다.

참고#

• GHSA-rqfm-pw34-r7j6
• CVE-2026-52886
• 패치 커밋 7e66f36
• Notepad++ v8.9.7 릴리즈
• v3s9er/CVE-2026-52886
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory