CVE-2026-82078
KrytyczneCVSS 9.4Streszczenie
Niebezpieczne dynamiczne ładowanie klas w narzędziach połączeń baz danych w PaperCut MF i PaperCut NG. Aplikacja tworzy instancje klas sterowników baz danych na podstawie konfigurowalnych nazw sterowników bez walidacji na liście dozwolonych. Jeśli atakujący może manipulować parametrami konfiguracji systemu, umożliwia to wykonanie dowolnego kodu Java znajdującego się na ścieżce klas w kontekście bezpieczeństwa procesu serwera PaperCut.
Ocena ryzyka
Atakujący z możliwością zmiany konfiguracji może wykonać dowolny kod Java, co prowadzi do pełnej kompromitacji serwera.
Rekomendacja
Ogranicz dostęp do konfiguracji systemu i zaktualizuj PaperCut do wersji zawierającej walidację sterowników.
Oryginalny opis (angielski, źródło NVD)
An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.