CVE-2026-82078
Vulnérabilité critique dans PaperCut MF/NG (PaperCut)
Description
An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.
Gravité et risque d'exploitation
CVE-2026-82078 obtient un score CVSS de 9.4/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 63.53 %, ce qui la place devant 99.2 % des CVE référencées.
Que faire ?
- Vérifiez si PaperCut MF/NG (versions <24.1.10, <26.0.5, <25.0.13, 25.0.0, 0, 26.0.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.