CVE-2026-82078: presente nel catalogo CISA KEV

CVE-2026-82078 · KEV 2026-08-28 · patch disponibile

An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.

CVE-2026-82078 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2026-08-28.
• Scadenza di remediation federale: 2026-09-11.
• Oltre quella data da 48 giorni.
• Codice di exploit pubblico: integrato in uno strumento pubblico.

Quali prodotti e versioni sono interessati?

• PaperCut · PaperCut MF/NG · >= 0, < 24.1.10, >= 25.0.0, < 25.0.13, >= 26.0.0, < 26.0.5

Esiste una patch?

Sì. Aggiorna a una di queste versioni o successive:

Dal record CVE di PaperCut · Advisory di PaperCut

Cosa ha pubblicato PlainSec su CVE-2026-82078

• PaperCut exploitation stays open after advisory (2026-10-12)
• PaperCut zero-days shift from access to theft (2026-09-02)
• PaperCut’s exploit chain splits into two CVEs (2026-09-01)

Fonti primarie

• NVD record
• CISA KEV catalog
• PaperCut advisory
• Metasploit: exploit/multi/http/papercut_ng_external_user_lookup_rce

Cosa questa scheda non dice

• Nessun punteggio CVSS da NVD.
• Nessun punteggio EPSS.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-10-09.