CVE-2026-20841 Windows记事本命令注入漏洞

漏洞描述

Windows记事本（Notepad）是微软Windows操作系统预装的轻量级文本编辑器，广泛用于日常文档处理、代码查看和日志分析。
在11.0.0至11.2510版本的记事本中，Markdown渲染引擎存在命令注入漏洞（CWE-77）。当记事本解析Markdown语法中的file://协议链接时，未对URL中的特殊字符及路径进行充分过滤和校验，直接调用ShellExecute打开该路径。攻击者可构造指向本地系统程序或远程WebDAV/SMB共享中恶意可执行文件的链接，诱导用户点击后直接执行任意代码，无需用户确认，无UAC弹窗