Aktywnie wykorzystywana w atakach
PaperCut NG/MF Unsafe Reflection Vulnerability
PaperCut - NG/MF · Figuruje w katalogu CISA KEV od 2026-08-31. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-82078
KrytyczneCVSS 9.1KEVPrawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
Niebezpieczne dynamiczne ładowanie klas w narzędziach połączeń baz danych w PaperCut MF i PaperCut NG. Aplikacja tworzy instancje klas sterowników baz danych na podstawie konfigurowalnych nazw sterowników bez walidacji na liście dozwolonych. Jeśli atakujący może manipulować parametrami konfiguracji systemu, umożliwia to wykonanie dowolnego kodu Java znajdującego się na ścieżce klas w kontekście bezpieczeństwa procesu serwera PaperCut.
Ocena ryzyka
Atakujący z możliwością zmiany konfiguracji może wykonać dowolny kod Java, co prowadzi do pełnej kompromitacji serwera.
Rekomendacja
Ogranicz dostęp do konfiguracji systemu i zaktualizuj PaperCut do wersji zawierającej walidację sterowników.
Inne podatności w PaperCut MF/NG
Zobacz wszystkie- CVE-2026-81578KrytyczneAktywnie exploitowane
Podatność nieprawidłowej kontroli dostępu w interfejsie zarządzania webowego PaperCut MF i PaperCut NG. W określonych warunkach nieuwierzytelnione zdalne żądania kierowane do funkcji administracyjnych mogą wywołać akcje backendu przed zakończeniem walidacji dostępu, co pozwala na modyfikację niektórych konfiguracji systemu.
- CVE-2026-87739Średnie
W PaperCut MF/NG występuje luka nieprawidłowego uwierzytelniania, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie generowania raportów. Poprzez wysyłanie żądań generowania raportów bez ważnych poświadczeń atakujący może uzyskać nieautoryzowany dostęp do danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS