nxploited/cve-2026-91097-cve-2026-91106HPLIP < 3.26.6 — Prise de contrôle complète de l'administration via l'interface web PAPPL (sans authentification). Lié à CVE-2026-91097 jusqu'à CVE-2026-91106 (CVSS 9.3)
🔬 Rejoignez Telegram pour les dernières recherches sur les vulnérabilités et les publications d'exploits
Outil d'exploitation de masse ciblant l'HPLIP Printer Application (interface web basée sur PAPPL) dans toutes les versions de HPLIP antérieures à 3.26.6. L'outil exploite l'état non authentifié par défaut de l'interface web PAPPL pour réaliser une chaîne complète de prise de contrôle administrative : altération de la configuration, modification du nom d'hôte, remplacement du certificat TLS, installation du plugin HP (déclenche l'exécution shell du fichier .run sur la cible), exfiltration des journaux système et verrouillage du mot de passe administrateur.
La vulnérabilité principale est l'accès administratif non authentifié de PAPPL — l'HPLIP Printer Application est livrée avec aucun mot de passe configuré par défaut, permettant à tout attaquant réseau d'effectuer toutes les actions administratives sans authentification via l'interface web (généralement le port 8000).
De plus, la chaîne d'installation du plugin exploite des faiblesses traitées dans :
| CVE | CWE | CVSS 4.0 | Pertinence |
|---|---|---|---|
| CVE-2026-91097 | CWE-94 / CWE-787 | 7.0 | Path Traversal dans plugin.spec — l'installation du plugin déclenchée par cet outil passe par le code vulnérable de pluginhandler.py |
| CVE-2026-91102 | CWE-78 / CWE-494 | 8.4 | Téléchargement sans vérification d'intégrité — le fichier .run du plugin est téléchargé via HTTP et exécuté avec sh sur la cible |
Bulletin de sécurité HP : HPSBPI04151
| Point de terminaison | Action | Vérifié |
|---|---|---|
/security | Définir le mot de passe administrateur (prise de contrôle du compte) | ✅ |
/config | Modifier le nom DNS-SD, l'emplacement, l'organisation, le contact | ✅ |
/network | Changer le nom d'hôte du système | ✅ |
/tls-install-crt | Téléverser un certificat TLS arbitraire + clé privée | ✅ |
/plugin | Déclencher le téléchargement du plugin HP + acceptation de la licence + installation (exécute .run avec sh) | ✅ |
/logfile.txt | Lire le fichier journal complet de l'application (divulgation d'informations) | ✅ |
Découverte de la cible
│
▼
Détecter l'HPLIP Printer Application (en-tête Server + version)
│
▼
Vérifier l'état d'authentification (/security)
│
├── Mot de passe défini ──► Journalisé comme VULN (verrouillé)
│
└── Aucun mot de passe (par défaut) ──► Chaîne d'exploitation :
│
├── 1. Modifier la configuration (/config)
│ dns_sd_name, location, organization, contact_name
│ Vérifié : marqueur reflété dans la réponse
│
├── 2. Changer le nom d'hôte (/network)
│ Ancien nom d'hôte capturé, nouveau nom d'hôte défini
│ Vérifié : nouvelle valeur reflétée dans la réponse
│
├── 3. Téléverser un certificat TLS (/tls-install-crt)
│ Certificat PEM personnalisé + clé privée
│ Téléversement de fichier multipart
│
├── 4. Installer le plugin HP (/plugin)
│ Étape 1 : POST action=install-plugin (télécharge .run)
│ Étape 2 : POST action=license-accepted (exécute avec sh)
│ ⚠ CVE-2026-91097 + CVE-2026-91102
│
├── 5. Lire le fichier journal (/logfile.txt)
│ Chemins système, informations d'environnement, chemins Snap
│
└── 6. Définir le mot de passe administrateur (/security)
Verrouille tout accès non authentifié ultérieur
Achève la prise de contrôle administrative complète
pip install requests
Python 3.8+ requis. Aucune autre dépendance.
python T.py targets.txt 50
| Argument | Description | Par défaut |
|---|---|---|
targets.txt | Fichier contenant la liste des cibles (une par ligne) | Demandé |
50 | Nombre de threads simultanés | 15 |
python T.py
L'outil demandera le fichier de liste des cibles et le nombre de threads.
192.168.1.100:8000
https://10.0.0.1:8000
http://printer.local:8000
192.168.1.100
printer.example.com
8000# sont ignorées| Fichier | Contenu |
|---|---|
AdminS.txt | Prise de contrôle administrateur — mot de passe, version du serveur, carte complète des URL du panneau |
Nx_modify.txt | Modifications vérifiées de la configuration et du nom d'hôte (anciennes → nouvelles valeurs) |
Nx_upload.txt | Confirmations de téléversement de certificat TLS |
Nx_plugin.txt | Résultats d'installation du plugin HP avec état d'exécution shell |
Nx_recon.txt | Divulgation d'informations — taille du fichier journal, chemins d'environnement, version |
AdminS.txthttp://192.168.1.100:8000 | v3.22.10 | password=Nx-zD_buovl6wko0 | server=HPLIP_Printer_Application/3.22.10-13 PAPPL/1.4.9 | panel=http://192.168.1.100:8000/ | security=http://192.168.1.100:8000/security | config=http://192.168.1.100:8000/config | ...
Nx_modify.txthttp://192.168.1.100:8000/config | v3.22.10 | type=CONFIG | verified=true | dns_sd_name: 'HPLIP Printer Application' -> 'HPLIP [marker]' | location: '' -> 'Nxploited-marker'
http://192.168.1.100:8000/network | v3.22.10 | type=HOSTNAME | verified=true | old=ORIGINAL-HOST.local | new=nx-abc123
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
██████ ██ ██ ██
██ ███ ██ ██ ██
██ ██████ ███
██ █████ ██ ██
██ ████ ██ ██
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
HPLIP Printer Application │ Prise de contrôle admin + contrôle total
Affecté < 3.26.6 │ Accès non authentifié PAPPL
CVE-2026-91097 │ Path Traversal du plugin
CVE-2026-91102 │ Téléchargement du plugin sans intégrité + exécution shell
Exploité via le Web : /security /config /network /plugin /tls-install-crt /logs
Par : Nxploited ( Khaled Alenazi ) │ Telegram : @Kxploit
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
targets=4 threads=4