CVE-2023-27350
PaperCut MF/NG अनुचित अभिगम नियंत्रण भेद्यता
- प्रकाशित
- 20 अप्रैल 2023
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- zdi
- साक्ष्य देखे गए
- 21 अप्रैल 2023
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 100.0%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
यह भेद्यता दूरस्थ हमलावरों को PaperCut NG 22.0.5 (Build 63914) के प्रभावित इंस्टॉलेशनों पर प्रमाणीकरण बायपास करने की अनुमति देती है। इस भेद्यता का शोषण करने के लिए प्रमाणीकरण आवश्यक नहीं है। विशिष्ट दोष SetupCompleted क्लास के भीतर मौजूद है। यह समस्या अनुचित एक्सेस नियंत्रण के परिणामस्वरूप उत्पन्न होती है। एक हमलावर इस भेद्यता का लाभ उठाकर प्रमाणीकरण बायपास कर सकता है और SYSTEM के संदर्भ में मनमाना कोड निष्पादित कर सकता है। यह ZDI-CAN-18987 था।
स्रोत
modules/exploits/multi/http/papercut_ng_auth_bypass.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Java($.exploit_multi/http/papercut_ng_auth_bypass.platform)
- verification: check_declared($.exploit_multi/http/papercut_ng_auth_bypass.check)
http/cves/2023/CVE-2023-27350.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।