CVE-2026-34401 XML Notepad XXE漏洞

XML Notepad是Windows平台上一款用于浏览和编辑XML文档的工具。在2.9.0.21版本之前，该软件默认未禁用DTD处理，导致外部实体被自动解析。攻击者可利用此特性构造恶意XML文件，诱导用户打开。解析过程中，程序会触发对外部资源的请求，可能导致本地敏感文件泄露，或通过SMB协议窃取用户的NTLM凭据。厂商已在2.9.0.21版本中修复了该问题。

该漏洞属于XML外部实体注入（XXE）漏洞。由于XML Notepad未在解析器中安全配置安全处理选项或禁用外部实体，导致其能够处理包含恶意DOCTYPE声明的XML文件。攻击者可以定义SYSTEM实体指向攻击者控制的服务器（HTTP/SMB）。当受害者使用XML Notepad打开文件时，解析器会自动解析这些实体，发起出站请求。利用SMB协议时，Windows会尝试进行NTLM认证，攻击者通过搭建恶意SMB服务器可截获NTLMv1/v2 Hash。利用HTTP协议则可证明OOB（带外数据）数据泄露。此攻击需要用户交互，即受害者必须打开特制的XML文件。