PaperCut NG: Code-Injection über External User Lookup führt zu Remote Code Execution

Beschreibung

PaperCut NG enthält eine Code-Injection-Schwachstelle in der External-User-Lookup-Funktionalität, die entfernten Angreifern nach erfolgreicher Authentifizierung die Ausführung beliebigen Codes im Kontext von SYSTEM erlaubt. Ursache ist eine fehlende Validierung eines vom Nutzer übergebenen Strings, bevor dieser zur Ausführung von Java-Code verwendet wird. CVSS-Basiswert: 7.2 (Hoch).

Changelog

1. 2026-08-02 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in PaperCut

• PaperCut NG/MF – Fehlerhafte Authentifizierung KEV CVE-2023-27351
• PaperCut NG/MF – Cross-Site Request Forgery (CSRF) KEV CVE-2023-2533
• PaperCut MF/NG – Unzureichende Zugriffskontrolle KEV CVE-2023-27350
• PaperCut NG/MF unter Windows: Path Traversal ermöglicht Codeausführung CVE-2023-39143
• PaperCut NG/MF – Rechteausweitung über präparierte API-Anfrage CVE-2024-1222
• PaperCut MF – Race Condition bei Badge-Swipe-Verarbeitung (HP MFP) CVE-2026-6180