Aktywnie wykorzystywana w atakach
PaperCut NG/MF Missing Authentication for Critical Function Vulnerability
PaperCut - NG/MF · Figuruje w katalogu CISA KEV od 2026-08-31. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-81578
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowej kontroli dostępu w interfejsie zarządzania webowego PaperCut MF i PaperCut NG. W określonych warunkach nieuwierzytelnione zdalne żądania kierowane do funkcji administracyjnych mogą wywołać akcje backendu przed zakończeniem walidacji dostępu, co pozwala na modyfikację niektórych konfiguracji systemu.
Ocena ryzyka
Nieuwierzytelniony atakujący może zmienić konfigurację systemu, co może prowadzić do naruszenia bezpieczeństwa, przerw w działaniu lub nieautoryzowanych zmian.
Rekomendacja
Zastosuj dostępne aktualizacje zabezpieczeń od producenta PaperCut oraz ogranicz dostęp do interfejsu zarządzania tylko do zaufanych sieci.
Inne podatności w PaperCut MF/NG
Zobacz wszystkie- CVE-2026-82078KrytyczneAktywnie exploitowane
Niebezpieczne dynamiczne ładowanie klas w narzędziach połączeń baz danych w PaperCut MF i PaperCut NG. Aplikacja tworzy instancje klas sterowników baz danych na podstawie konfigurowalnych nazw sterowników bez walidacji na liście dozwolonych. Jeśli atakujący może manipulować parametrami konfiguracji systemu, umożliwia to wykonanie dowolnego kodu Java znajdującego się na ścieżce klas w kontekście bezpieczeństwa procesu serwera PaperCut.
- CVE-2026-87739Średnie
W PaperCut MF/NG występuje luka nieprawidłowego uwierzytelniania, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie generowania raportów. Poprzez wysyłanie żądań generowania raportów bez ważnych poświadczeń atakujący może uzyskać nieautoryzowany dostęp do danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
An improper access control vulnerability exists in the web management interface of PaperCut MF and PaperCut NG. Under specific conditions, unauthenticated remote requests targeting administrative functions can trigger backend actions prior to the completion of access validation checks. This allows an unauthenticated remote attacker to modify certain system configurations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS