En effet, la faille CVE-2026-20841 exploite une injection de commande via des liens malveillants dans un fichier Markdown. Vous ouvrez le fichier, vous cliquez sur le lien, et hop, exécution de code à distance sur votre bécane. Personne chez M$ n'avait pensé à filtrer les protocoles des URL. Résultat, un lien du type file:///C:/Windows/System32/cmd.exe ou ms-msdt:// s'exécute comme si de rien n'était.

(via https://www.techspot.com/news/111287-unwanted-ai-upgrade-windows-notepad-created-serious-security.html)

Zythom relate son utilisation de l'outil: https://zythom.fr/2026/04/pentests-assistes-par-ia/

Les systèmes de vérification d'âge sont facilement contournable.

The official post of Notepad++

(from https://arstechnica.com/security/2026/02/notepad-updater-was-compromised-for-6-months-in-supply-chain-attack/)

It is made with single goal of minimizing friction between citizens and Emergency services - featuring real-time communication, location-based reporting, seamless interaction between reporters and authorities, and live tracking.

Built during an hackathon, so there are many potential improvments. The project looks great though.

La CNIL a sanctionné Free (cf sur Mastodon: La CNIL sanctionne la société FREE MOBILE). Plusieurs autres entités ont fait fuité des données, mais la CNIL ne semble pas réagir.

It was disclosed in 2022 and it is part of the SHA-3 design.

The python code

import hashlib
h = hashlib.sha3_224()
h.update(b"\x00" * 1)
h.update(b"\x00" * 4294967295)
print(h.hexdigest())

generates a segmentation fault. The scripts will attempt to write more data to a buffer than it can hold. A small variant cause an infinite loop.

This can be used to violate the cryptographic properties of the hash function to create preimages, second preimages and collisions.

Le rapport explique que « ces défaillances catastrophiques de sécurité n’étaient pas le résultat d’exploitation de faille zero-day dans l’architecture de la plateforme, mais plutôt des suites d’infections malveillantes sur les appareils des employés, combiné à manque cruel de mise en place de l’authentification multi-facteurs (MFA) ».

Il ne s'agit ni d'une faille, ni d'un piratage, mais un mot de passe faible.

Ainsi, [la CNIL] « renforcera dès 2026 sa politique de contrôle pour s’assurer de la mise en place de l’authentification multifacteur pour ces grandes bases de données. L’absence de cette mesure pourra justifier que soit initiée une procédure de sanction ».

Attendez, ce n'est pas encore le cas ?!

It is interesting to know how because it goes in depth of the elliptic curve used for encryption.

A sheet listing (currently) 187 hardware

Source: https://www.tomshardware.com/tech-industry/cyber-security/researcher-finds-undocumented-microphone-and-major-security-flaws-in-sipeed-nanokvm

This page is a by-design feature on both JSONformatter and CodeBeautify that allows a random user (you, me, your parrot) to browse all saved content and their associated links, along with the associated title, description, and date.

Landlock shines when an application has a predictable set of files or directories it needs. For example, a web server could restrict itself to accessing only /var/www/html and /tmp.

The author reminds Linux has security issues on most major distributions and each tools trying to improve the state of securit on Linux has drawbacks: Containerization, Flatpak, Firejail, seccomp, SELinux, AppArmor and Landlock.

Landlock fills a major gap: a simple, self-cotnained unprivileged sandboxing tool.

Read more on the landlock.io

Rust compiled with LLVM is resistant against timing attack.
It requires LLVM though.

NPM packages are attacked again. The first infected package is go-template then hundreds. The most major ones are Zapier, ENS, AsyncAPI, PostHog, Browserbase, and Postman.'

Other source: https://www.stepsecurity.io/blog/sha1-hulud-the-second-coming-zapier-ens-domains-and-other-prominent-npm-packages-compromised