← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités PaperCut activement exploitées (KEV)

Les 5 vulnérabilités PaperCut dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 2 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-82078 — PaperCut NG/MF : vulnérabilité de réflexion non sécurisée

  • Produit : PaperCut NG/MF
  • Ajoutée au catalogue : 31 août 2026
  • Échéance CISA : 14 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-470
  • Gravité : CVSS 9,4 (critique)
  • Probabilité d’exploitation (EPSS) : 63 %

PaperCut NG/MF contient une vulnérabilité de réflexion non sécurisée qui permet à un attaquant de manipuler les paramètres de configuration du système et d'exécuter un bytecode Java arbitraire résidant dans le classpath de l'application sous le contexte de sécurité du processus serveur PaperCut. Cette vulnérabilité peut être chaînée avec CVE-2026-81578.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · papercut.com

CVE-2026-81578 — PaperCut NG/MF : vulnérabilité d'absence d'authentification pour une fonction critique

  • Produit : PaperCut NG/MF
  • Ajoutée au catalogue : 31 août 2026
  • Échéance CISA : 14 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-306
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 85 %

PaperCut NG/MF contient une vulnérabilité d'absence d'authentification pour une fonction critique qui permet à un attaquant distant non authentifié de modifier certaines configurations système. Cette vulnérabilité peut être chaînée avec CVE-2026-82078.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · papercut.com

CVE-2023-27351 — PaperCut NG/MF : vulnérabilité d'authentification incorrecte

  • Produit : PaperCut NG/MF
  • Ajoutée au catalogue : 20 avril 2026
  • Échéance CISA : 4 mai 2026
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-287
  • Gravité : CVSS 7,5 (élevée)
  • Probabilité d’exploitation (EPSS) : 78 %

PaperCut NG/MF contient une vulnérabilité d'authentification incorrecte qui pourrait permettre à des attaquants distants de contourner l'authentification sur les installations affectées via la classe SecurityRequestFilter.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · papercut.com

CVE-2023-2533 — PaperCut NG/MF : vulnérabilité de falsification de requêtes côté serveur (CSRF)

  • Produit : PaperCut NG/MF
  • Ajoutée au catalogue : 28 juillet 2025
  • Échéance CISA : 18 août 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-352
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 29 %

PaperCut NG/MF contient une vulnérabilité de falsification de requêtes côté serveur (CSRF) qui, dans des conditions spécifiques, pourrait potentiellement permettre à un attaquant de modifier les paramètres de sécurité ou d'exécuter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · papercut.com

CVE-2023-27350 — PaperCut MF/NG : vulnérabilité de contrôle d'accès incorrect Critique

  • Produit : PaperCut MF/NG
  • Ajoutée au catalogue : 21 avril 2023
  • Échéance CISA : 12 mai 2023
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-284
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

PaperCut MF/NG contient une vulnérabilité de contrôle d'accès incorrecte dans la classe SetupCompleted qui permet un contournement de l'authentification et une exécution de code dans le contexte de system.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · papercut.com

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)