Bei Notepad++ wird eine DLL-Hijacking-Schwachstelle beschrieben: Eine der vom Programm geladenen DLL-Dateien kann durch eine manipulierte Datei ersetzt werden, sodass beim Start des Editors fremder Code mit den Rechten des ausführenden Benutzers ausgeführt wird. Voraussetzung ist allerdings, dass das Programm in ein Verzeichnis installiert wurde, in dem beliebige, nicht privilegierte Benutzer Schreibrechte besitzen – nur dann lässt sich die Originaldatei überhaupt austauschen. Genau aus diesem Grund wird die Einordnung als eigenständige Schwachstelle von mehreren Seiten bestritten: Kritiker sehen die Ursache in einer unsicheren Installationsumgebung und nicht im Programm selbst. Praktisch relevant ist das Verhalten damit vor allem auf Systemen, auf denen die Anwendung außerhalb der üblichen, schreibgeschützten Programmverzeichnisse abgelegt wurde.