CVE-2026-82078

CVE-2026-82078 beschreibt eine Schwachstelle im unsicheren dynamischen Laden von Klassen in den Datenbankverbindungs-Dienstprogrammen von PaperCut MF und PaperCut NG. Die Anwendung instanziiert Datenbanktreiberklassen basierend auf konfigurierbaren Treibernamen, ohne diese gegen eine Positivliste zu validieren. Dies ermöglicht die Ausführung von beliebigem Java-Bytecode, wenn ein Angreifer Systemkonfigurationsparameter manipulieren kann, was zur Codeausführung im Sicherheitskontext des PaperCut-Serverprozesses führt.

Die Kritikalität dieser Schwachstelle ist als hoch einzustufen, da sie aktiv ausgenutzt wird (CISA KEV). Obwohl die Exploit-Wahrscheinlichkeit (EPSS) mit 0% angegeben ist, überwiegt die Tatsache der aktiven Ausnutzung die niedrige EPSS-Bewertung und signalisiert eine unmittelbare Bedrohung. Die Möglichkeit der Ausführung von beliebigem Code unter dem Sicherheitskontext des Servers stellt ein erhebliches Risiko dar.

Security-Teams sollten umgehend Maßnahmen ergreifen, um diese Schwachstelle zu beheben. Die Priorität ist aufgrund der aktiven Ausnutzung als sehr hoch einzustufen. Es wird dringend empfohlen, die vom Hersteller bereitgestellten Patches oder Mitigationen unverzüglich anzuwenden und die Systeme auf Anzeichen einer Kompromittierung zu überwachen.