CVE-2026-82078: presente nel catalogo CISA KEV

CVE-2026-82078 · KEV 2026-08-28

An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.

CVE-2026-82078 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2026-08-28.
• Scadenza di remediation federale: 2026-09-11.
• Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.

Quali prodotti e versioni sono interessati?

• PaperCut · PaperCut MF/NG · >= 0, < 24.1.10, 25.0.13, 26.0.5

Esiste una patch?

Nessun identificativo di patch registrato qui.

Cosa ha pubblicato PlainSec su CVE-2026-82078

• PaperCut Zero-Days Shift From Access to Theft (2026-09-01)
• PaperCut’s Exploit Chain Splits Into Two CVEs (2026-09-01)

Fonti primarie

• NVD record
• CISA KEV catalog

Cosa questa scheda non dice

• Nessun punteggio CVSS da NVD.
• Nessun punteggio EPSS.
• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-09-01.