CVE-2023-27351
Cette vulnérabilité permet à des attaquants distants de contourner l'authentification sur les installations affectées de PaperCut NG 22.0.5 (Build 63914). L'authentification n'est pas requise pour exploiter cette vulnérabilité. La faille spécifique existe au sein de la classe SecurityRequestFilter. Le problème résulte d'une implémentation incorrecte de l'algorithme d'authentification. Un attaquant peut exploiter cette vulnérabilité pour contourner l'authentification sur le système. Était ZDI-CAN-19226.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 20 avr. 2026
- Les agences fédérales américaines doivent la corriger avant le 4 mai 2026 (BOD 22-01)
- Première attaque observée 7 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
- Utilisée dans des campagnes de rançongiciel
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Source : CISA KEV · 3 oct. 2026 2 oct. 2026 1 oct. 2026 30 sept. 2026 29 sept. 2026 27 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| papercut | papercut mf | < 20.1.7 |
| papercut | papercut ng | < 20.1.7 |
Articles liés
PaperCut : deux zero-day exploitées, double correctif d'urgence
PaperCut publie deux correctifs d'urgence pour des zero-day exploitées (CVE-2026-81578 et CVE-2026-82078). Mises à jour et mesures à prendre.
PaperCut sous attaque : zero-day exploitée, correctif d'urgence et ordre d'isoler les serveurs
PaperCut signale une zero-day exploitée, publie des correctifs d'urgence et recommande d'isoler les serveurs d'application pour prévenir les attaques.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.