Aktywnie wykorzystywana w atakach

PaperCut MF/NG Improper Access Control Vulnerability

PaperCut - MF/NG · Figuruje w katalogu CISA KEV od 2023-04-21. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2023-27350

KrytyczneCVSS 9.8KEV

Opublikowano: 20/04/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Podatność pozwala zdalnym atakującym obejść uwierzytelnianie w PaperCut NG 22.0.5 (Build 63914). Wynika z nieprawidłowej kontroli dostępu w klasie SetupCompleted. Atakujący może obejść uwierzytelnianie i wykonać dowolny kod w kontekście SYSTEM.

Ocena ryzyka

Atakujący może uzyskać pełną kontrolę nad serwerem PaperCut z uprawnieniami SYSTEM, co może prowadzić do poważnego naruszenia bezpieczeństwa.

Rekomendacja

Natychmiast zaktualizuj PaperCut NG do najnowszej wersji. Sprawdź, czy nie doszło do nieautoryzowanego dostępu.

Inne podatności w PaperCut NG

CVE-2023-3486Wysokie
W wersjach PaperCut NG 22.0.12 i wcześniejszych występuje luka umożliwiająca ominięcie uwierzytelniania, co pozwala zdalnemu, nieautoryzowanemu atakującemu na przesyłanie dowolnych plików do pamięci masowej hosta PaperCut NG.

Oryginalny opis (angielski, źródło NVD)

This vulnerability allows remote attackers to bypass authentication on affected installations of PaperCut NG 22.0.5 (Build 63914). Authentication is not required to exploit this vulnerability. The specific flaw exists within the SetupCompleted class. The issue results from improper access control. An attacker can leverage this vulnerability to bypass authentication and execute arbitrary code in the context of SYSTEM. Was ZDI-CAN-18987.