PaperCut - CVE-2026-82078

Il s'agit d'une vulnérabilité dans les utilitaires de connexion aux bases de données de PaperCut MF et PaperCut NG.

PaperCut NG et PaperCut MF sont des solutions de gestion des impressions. Elles assurent le suivi des volumes imprimés, l'authentification des utilisateurs aux périphériques d'impression et l'application de quotas au sein des organisations. PaperCut MF ajoute une intégration directe avec les copieurs multifonctions, accessible depuis l'écran tactile de l'appareil.

L'application instancie les classes de pilotes de base de données à partir d'un nom de pilote configurable. Ce nom n'est pas confronté à une liste blanche de pilotes approuvés. Un attaquant capable de manipuler les paramètres de configuration système peut ainsi désigner une classe arbitraire déjà présente sur le classpath de l'application. Le bytecode correspondant est alors chargé et exécuté par la machine virtuelle Java hôte. Cette faille est exploitée en pratique en enchaînement avec CVE-2026-81578, un contournement d'authentification sur l'interface web d'administration qui permet à un attaquant distant non authentifié d'atteindre la fonction de configuration vulnérable sans disposer d'un compte valide.

Elle permet l'exécution de bytecode Java arbitraire dans le contexte de sécurité du processus serveur PaperCut.