CVE-2026-8794
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
PaperCut NG/MF zawiera mierzalną różnicę czasową w komponencie uwierzytelniania. Nieuwierzytelniony zdalny atakujący może wykorzystać to do enumeracji nazw użytkowników poprzez pomiar czasu odpowiedzi podczas prób logowania.
Ocena ryzyka
Atakujący może poznać prawidłowe nazwy użytkowników, co ułatwia dalsze ataki, np. brute-force haseł.
Rekomendacja
Zastosuj poprawkę eliminującą różnicę czasową, np. przez zawsze wykonywanie porównania hasła niezależnie od istnienia konta.
Inne podatności w PaperCut NG/MF
Zobacz wszystkie- CVE-2026-14780Wysokie
W platformie PaperCut NG/MF występuje luka w funkcji skryptów urządzeń wynikająca z niewystarczającej sanityzacji i ograniczeń dostępu w osadzonym silniku wykonawczym. Uwierzytelniony użytkownik z dostępem administracyjnym do interfejsu zarządzania może dostarczyć złośliwy skrypt, który ucieka z sandboxa środowiska uruchomieniowego. Skuteczne wykonanie pozwala atakującemu uruchomić nieautoryzowane polecenia systemu operacyjnego z uprawnieniami administracyjnymi na hoście.
- CVE-2026-8793Średnie
PaperCut NG/MF nieprawidłowo ogranicza nadmierne próby uwierzytelnienia w komponencie logowania. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność do przeprowadzania nieograniczonych ataków brute-force lub credential-stuffing, bez wyzwalania blokady konta lub mechanizmów ograniczania szybkości w niektórych konfiguracjach.
Oryginalny opis (angielski, źródło NVD)
PaperCut NG/MF contains an observable timing discrepancy in its authentication component. An unauthenticated remote attacker can exploit this vulnerability to perform username enumeration by measuring response times during login attempts. The system executes a password hash comparison only when a valid account is supplied, creating a measurable timing oracle that reveals account existence.