CVE-2026-81578

WysokieCVSS 8.8

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 29/08/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Podatność nieprawidłowej kontroli dostępu w interfejsie zarządzania webowego PaperCut MF i PaperCut NG. W określonych warunkach nieuwierzytelnione zdalne żądania kierowane do funkcji administracyjnych mogą wywołać akcje backendu przed zakończeniem walidacji dostępu, co pozwala na modyfikację niektórych konfiguracji systemu.

Ocena ryzyka

Nieuwierzytelniony atakujący może zmienić konfigurację systemu, co może prowadzić do naruszenia bezpieczeństwa, przerw w działaniu lub nieautoryzowanych zmian.

Rekomendacja

Zastosuj dostępne aktualizacje zabezpieczeń od producenta PaperCut oraz ogranicz dostęp do interfejsu zarządzania tylko do zaufanych sieci.

Inne podatności w PaperCut MF/NG

CVE-2026-82078KrytyczneAktywnie exploitowane
Niebezpieczne dynamiczne ładowanie klas w narzędziach połączeń baz danych w PaperCut MF i PaperCut NG. Aplikacja tworzy instancje klas sterowników baz danych na podstawie konfigurowalnych nazw sterowników bez walidacji na liście dozwolonych. Jeśli atakujący może manipulować parametrami konfiguracji systemu, umożliwia to wykonanie dowolnego kodu Java znajdującego się na ścieżce klas w kontekście bezpieczeństwa procesu serwera PaperCut.

Oryginalny opis (angielski, źródło NVD)

An improper access control vulnerability exists in the web management interface of PaperCut MF and PaperCut NG. Under specific conditions, unauthenticated remote requests targeting administrative functions can trigger backend actions prior to the completion of access validation checks. This allows an unauthenticated remote attacker to modify certain system configurations.