CVE-2026-87739: в PaperCut MF/NG не проверяются права пользователя при генерации отчётов
В PaperCut MF/NG обнаружена уязвимость неправильной аутентификации: неаутентифицированный удалённый атакующий может инициировать генерацию отчётов и получить доступ к конфиденциальным данным. Проблема затрагивает продукты PaperCut NG и MF, уровень критичности — средний (CVSS 6.9). Рекомендуется как можно скорее обновить ПО.
Подробности
Уязвимость классифицируется как improper authentication — неправильная аутентификация. Согласно описанию, при генерации отчётов в PaperCut MF/NG не выполняется проверка прав пользователя. Это означает, что удалённый атакующий, не имеющий действительных учётных данных, может отправлять запросы на формирование отчётов и получать таким образом доступ к чувствительной информации, которая должна быть доступна только авторизованным пользователям с соответствующими привилегиями. Атака не требует аутентификации и может выполняться удалённо, что расширяет круг потенциальных злоумышленников: для эксплуатации достаточно сетевого доступа к уязвимому компоненту. При этом целостность и доступность системы напрямую не затрагиваются — основному риску подвергается конфиденциальность данных, содержащихся в отчётах. Под уязвимость подпадают продукты PaperCut NG и PaperCut MF. Точные версии, в которых присутствует проблема, в записи CVE не детализированы, поэтому организациям следует ориентироваться на официальные рекомендации вендора и проверить актуальность используемых сборок.Что делать
Основная рекомендация — установить обновление PaperCut MF/NG, выпущенное производителем для устранения CVE-2026-87739. Перед обновлением стоит свериться с официальным бюллетенем безопасности PaperCut, чтобы уточнить затронутые версии и порядок установки. Если немедленное обновление невозможно, в качестве временных мер mitigating-характера можно рассмотреть: - ограничение сетевого доступа к интерфейсам PaperCut MF/NG, в том числе к функциям формирования отчётов, средствами межсетевого экрана или сегментации сети; - размещение системы только в доверенных внутренних сегментах без прямого выхода в интернет; - усиление мониторинга журналов на предмет аномальных запросов на генерацию отчётов от неаутентифицированных или необычных источников; - проверку прав доступа учётных записей и отзыв лишних привилегий. Важно понимать, что перечисленные меры являются компенсирующими и не заменяют установку патча. Итог: CVE-2026-87739 — умеренно опасная, но легко эксплуатируемая удалённо уязвимость, способная привести к утечке конфиденциальной информации из отчётов PaperCut MF/NG. Поскольку эксплуатация не требует учётных данных, медлить с обновлением не стоит: установите патч вендора и ограничьте сетевой доступ к системе до его применения.Источник: CVE Project (cvelistV5)