CVE-2026-8793 — Absence de protection contre la force brute sur le formulaire de connexion de PaperCut NG

Résumé

L'interface d'administration web de PaperCut NG n'implémente aucune forme de protection contre la force brute sur son point de terminaison de connexion. Un attaquant non authentifié peut soumettre un nombre illimité de tentatives d'authentification contre n'importe quel compte sans déclencher de verrouillage de compte, de défi CAPTCHA ni de limitation de débit des requêtes.

Lorsqu'elle est combinée à CVE-2026-8794 (énumération de noms d'utilisateur via un canal latéral temporel), cette vulnérabilité permet une attaque entièrement ciblée : d'abord énumérer silencieusement les noms de comptes valides, puis effectuer des tentatives de connexion illimitées contre ces comptes sans aucun risque de détection ni de verrouillage au niveau applicatif.

Détails techniques

Point de terminaison affecté

POST /app HTTP/1.1
Host: <target>:9191
Content-Type: application/x-www-form-urlencoded

service=direct/1/Home/%24Form&inputUsername=admin&inputPassword=<password>

Comportement observé

Dix tentatives d'authentification consécutives ayant échoué contre le compte admin intégré ont produit des réponses HTTP 200 identiques, sans aucun changement de comportement :

Aucun verrouillage de compte Aucun défi CAPTCHA Aucun délai progressif Aucun en-tête de limitation de débit (X-RateLimit-*, Retry-After) Aucune différence visible entre la tentative 1 et la tentative 10 Preuve de concept : for i in $(seq 1 10); do curl -s -o /dev/null -w "Attempt $i: HTTP %{http_code} — Time: %{time_total}s\n"
-X POST "http://:9191/app"
-H "Origin: http://:9191"
--data "service=direct/1/Home/%24Form&inputUsername=admin&inputPassword=wrongpassword$i" done

Les dix tentatives renvoient un HTTP 200 sans différence observable dans le temps de réponse ni le contenu, confirmant l'absence de tout mécanisme de limitation.

Chaîne d'attaque avec CVE-2026-8794

Cette vulnérabilité a le plus d'impact lorsqu'elle est enchaînée avec CVE-2026-8794 :

Étape 1 (CVE-2026-8794) — Énumérer les noms d'utilisateur valides en mesurant les temps de réponse de l'authentification. Les noms d'utilisateur valides prennent en moyenne ~2,1 secondes de plus que les invalides, car bcrypt ne s'exécute que lorsque le compte existe. Les deux distributions temporelles ne présentent aucun chevauchement sur 30 échantillons. Étape 2 (CVE-2026-8793) — Effectuer des tentatives de mot de passe illimitées contre des comptes confirmés valides. Des listes de mots de passe courantes, des fuites d'identifiants ou des suppositions ciblées peuvent être soumises à pleine vitesse réseau sans risque de verrouillage. Impact

Un attaquant non authentifié ayant un accès réseau au port TCP/9191 peut :

Soumettre des suppositions de mot de passe illimitées contre n'importe quel compte sans aucune limitation Automatiser des attaques par bourrage d'identifiants à l'aide de bases de données de mots de passe divulgués Exécuter des attaques ciblées contre le compte admin intégré ou les comptes utilisateur énumérés

PaperCut NG est largement déployé dans les environnements d'entreprise et éducatifs où l'interface web gère les files d'impression, la facturation et l'accès des utilisateurs. La compromission d'un compte administratif donne un contrôle total sur l'infrastructure d'impression et les données utilisateur.

Remédiation

Pour les administrateurs (atténuations provisoires) :

Restreindre l'accès réseau au port TCP/9191 aux seuls hôtes de confiance Imposer des mots de passe forts et uniques sur tous les comptes PaperCut S'assurer que le verrouillage de compte est configuré au niveau du fournisseur d'identité en amont (AD/LDAP) Surveiller les journaux d'accès pour détecter des schémas inhabituels d'échecs d'authentification

Pour l'éditeur :

Implémenter une limitation de débit au niveau applicatif ou un verrouillage progressif sur le point de terminaison de connexion Introduire éventuellement un CAPTCHA après un seuil configurable de tentatives échouées Ajouter des en-têtes de réponse Retry-After lorsque les limites de débit sont appliquées

Chronologie

Date Événement 9 mai 2026 Rapport initial soumis à l'équipe de sécurité de PaperCut 10 mai 2026 Accusé de réception reçu mai 2026 CVE-2026-8793 attribuée par PaperCut (CNA) août 2026 Correctif publié — PaperCut NG 26.0.3 août 2026 Divulgation publique coordonnée avec l'éditeur

Références

CVE-2026-8793 sur cve.org CVE-2026-8794 — Vulnérabilité chaînée CWE-307 Page produit PaperCut NG

Divulguée conformément aux principes de divulgation responsable. L'intégralité des détails techniques a été partagée avec l'équipe de sécurité de PaperCut avant la publication publique.

Chercheur : Vivien LEBAS — @Hazaz