Skip to content
KitploitKITPLOIT
उपकरणब्लॉग
जमा करें
उपकरणब्लॉग
जमा करें

हैकिंग, पेनटेस्ट और साइबर सुरक्षा उपकरण आपके सुरक्षा शस्त्रागार के लिए!

Kitploit हैकिंग, साइबर सुरक्षा और पेंटेस्टिंग टूल्स की एक निर्देशिका है। कमजोरियों को खोजने, सिस्टम का विश्लेषण करने, परीक्षण को स्वचालित करने और अपनी सुरक्षा को मजबूत करने के लिए नवीनतम प्रोजेक्ट अपडेट खोजें।

··फ़ीड·संपर्क·गोपनीयता·© 2026 Kitploit

टूल निर्देशिका

श्रेणियाँ

सभी श्रेणियाँ देखें
Loading categories
PaperCut-CVE-2026-81578-82078 — PaperCut CVE-2026-81578 और CVE-2026-82078 के लिए सुरक्षा अनुसंधान उपकरण | Kitploit
उपकरण/GitHubGitHub/yora1928/papercut-cve-2026-81578-82078
भेद्यता स्कैनरशोषणवेब सुरक्षापेनिट्रेशन टेस्टिंगलर्निंग और शिक्षालॉग विश्लेषणलैब और अभ्यास
GitHubyora1928/papercut-cve-2026-81578-82078

PaperCut-CVE-2026-81578-82078

PaperCut CVE-2026-81578 और CVE-2026-82078 के लिए सुरक्षा अनुसंधान उपकरण

रिपॉजिटरी देखें
3घं 38मि पहलेअभी तक समीक्षित नहीं

सबसे लोकप्रिय

सभी देखें →

हमारे समुदाय द्वारा सबसे अधिक उपयोग किए जाने वाले उपकरण खोजें।

सभी उपकरण खोजें

हमारे उपकरणों का संग्रह ब्राउज़ करें

सभी उपकरण देखें →
साझा करें

PaperCut NG/MF भेद्यता आकलन और अधिकृत शोषण के लिए व्यावसायिक सुरक्षा अनुसंधान उपकरण

root@kitploit:~
╔══════════════════════════════════════════════════════════════════╗
║              PAPERCUT SECURITY TOOL – POWER MODE                ║
║         CVE-2026-81578 · CVE-2026-82078 · v3.1.0               ║
║                   ⚡ powered by yora 1928 ⚡                     ║
╚══════════════════════════════════════════════════════════════════╝

Python 3.10+ License: MIT Status: Production CVEs CVEs

📋 अवलोकन

यह उपकरण PaperCut NG/MF सर्वरों के लिए सुरक्षित, गैर-विनाशकारी भेद्यता आकलन और वैकल्पिक दूरस्थ शोषण (स्पष्ट प्राधिकरण के साथ) प्रदान करता है। इसे के लिए डिज़ाइन किया गया है, जिन्हें दो महत्वपूर्ण PaperCut भेद्यताओं की उपस्थिति को सत्यापित करने की आवश्यकता है।


सुरक्षा शोधकर्ताओं, पैठ परीक्षकों, और ब्लू-टीम रक्षकों
CVE IDविवरणCVSSCWE
CVE-2026-81578Apache Tapestry "complex direct" अनुरोधों के माध्यम से प्रमाणीकरण बाईपास8.8 (HIGH)CWE-306
CVE-2026-82078डेटाबेस कनेक्शन उपयोगिताओं में असुरक्षित डायनामिक क्लास लोडिंग9.4 (CRITICAL)CWE-470

मुख्य संदर्भ:

  • Rapid7 – PaperCut NG/MF Critical Zero‑Day Exploited in the Wild
  • IONIX – CVE-2026-81578 Deep Dive
  • VulDB – CVE-2026-81578 / CVE-2026-82078
  • PaperCut Security Bulletin – August 27, 2026

⚠️ महत्वपूर्ण: सटीकता और जिम्मेदार प्रकटीकरण

यह उपकरण संकेतक-आधारित दूरस्थ पहचान करता है। यह दावा नहीं करता कि यह वास्तविक PaperCut सर्वरों पर शोषण क्षमता साबित करता है, जब तक कि --force का उपयोग स्पष्ट लिखित प्राधिकरण के साथ न किया जाए।

स्थितिअर्थ
SAFEसंस्करण सही है या कोई संकेतक नहीं मिला
AFFECTED_VERSIONसंस्करण प्रभावित सीमा से मेल खाता है (विक्रेता सलाह)
TAPESTRY_DETECTEDApache Tapestry फ्रेमवर्क का पता चला (PaperCut द्वारा उपयोग किया जाता है)
ADMIN_ENDPOINT_ACCESSIBLEप्रशासनिक एंडपॉइंट बिना प्रमाणीकरण के सुलभ हैं
DB_CONFIG_ACCESSIBLEडेटाबेस कॉन्फ़िगरेशन एंडपॉइंट सुलभ हैं
POTENTIALLY_VULNERABLEसंकेतकों का संयोजन संभावित भेद्यता का सुझाव देता है, लेकिन शोषण क्षमता सत्यापित नहीं है
NOT_DETECTABLEआकलन के लिए अपर्याप्त जानकारी

आत्मविश्वास स्कोर साक्ष्य के भार के आधार पर गणना किए जाते हैं और अति-दावे से बचने के लिए दूरस्थ पहचान के लिए 85% पर सीमित होते हैं।

🚀 विशेषताएँ

  • ✅ फिंगरप्रिंटिंग – PaperCut संस्करण, Apache Tapestry फ्रेमवर्क, और उजागर एंडपॉइंट का पता लगाएं
  • ✅ संकेतक-आधारित CVE आकलन – ईमानदार स्थिति रिपोर्टिंग के साथ सुरक्षित, गैर-विनाशकारी जाँच
  • ✅ शैक्षिक स्थानीय लैब – नियंत्रित वातावरण में भेद्यता अवधारणाओं को पुन: प्रस्तुत करता है
  • ✅ दूरस्थ शोषण – --force फ्लैग के साथ (प्राधिकरण आवश्यक)
  • ✅ बैच स्कैनिंग – मल्टी-थ्रेडिंग के साथ कई लक्ष्यों को संसाधित करें (--input, --threads)
  • ✅ पोर्ट प्रीफ़िल्टर – गहन स्कैनिंग से पहले खुले पोर्ट की त्वरित जाँच (--prefilter)
  • ✅ लॉग पहचान – संदिग्ध गतिविधि पैटर्न के लिए IOC-आधारित विश्लेषण
  • ✅ व्यावसायिक रिपोर्टिंग – विस्तृत साक्ष्य के साथ HTML, JSON, और टेक्स्ट प्रारूप
  • ✅ इंटरैक्टिव मोड – उपयोग में आसानी के लिए मेनू-संचालित इंटरफ़ेस
  • ✅ स्व-परीक्षण – उपकरण कार्यक्षमता और निर्भरताओं को सत्यापित करता है

🛡️ सुरक्षा सीमाएँ

विशेषतावास्तविक लक्ष्य के विरुद्धस्थानीय लैब के विरुद्ध
फिंगरप्रिंटिंग✅ सुरक्षित (केवल-पठन)✅ सुरक्षित
CVE आकलन✅ सुरक्षित (संकेतक-आधारित)✅ सुरक्षित
अवधारणा प्रदर्शन❌ अवरुद्ध (केवल localhost)✅ अनुमत
दूरस्थ शोषण⚠️ --force और प्राधिकरण आवश्यक✅ अनुमत
कॉन्फ़िगरेशन परिवर्तन❌ कभी नहीं✅ केवल लैब के भीतर
RCE / पेलोड निष्पादन❌ कभी नहीं❌ लागू नहीं (केवल सिम्युलेटेड)

📦 स्थापना

root@kitploit:~
# Clone the repository
git clone https://github.com/yourusername/papercut-cve-tool.git
cd papercut-cve-tool

# Create virtual environment
python3 -m venv .venv
source .venv/bin/activate          # Linux/macOS
# or
.venv\Scripts\activate              # Windows

# Install dependencies
pip install -r requirements.txt

# Verify installation
python papercut.py self-test

🔧 त्वरित प्रारंभ

root@kitploit:~
# Show help
python papercut.py --help

# Run a full scan against a target
python papercut.py scan http://127.0.0.1:8080

# Fingerprint only
python papercut.py fingerprint http://127.0.0.1:8080

# Check a specific CVE
python papercut.py check http://127.0.0.1:8080 --cve 81578

# Start the educational local lab
python papercut.py lab

# Run concept demonstration (lab only)
python papercut.py exploit --cve 81578

# Remote exploit (AUTHORIZATION REQUIRED)
python papercut.py exploit --cve 81578 --target https://target.com:9192 --force

# Batch scan with prefilter and threading
python papercut.py scan --input targets.txt --prefilter --threads 10 --timeout 5

# Analyze log file for IOCs
python papercut.py detect server.log

# Generate HTML report
python papercut.py report result.json --format html

# Interactive menu
python papercut.py interactive

📖 CLI कमांड

कमांडविवरण
scan TARGETफिंगरप्रिंटिंग + CVE जाँच के साथ पूर्ण भेद्यता स्कैन
fingerprint TARGETPaperCut संस्करण, Tapestry फ्रेमवर्क, और उजागर एंडपॉइंट का पता लगाएं
check TARGET --cve {81578,82078}विशिष्ट CVE संकेतक जाँच चलाएं
lab [--port PORT] [--test]शैक्षिक स्थानीय लैब प्रारंभ करें (वैकल्पिक स्व-परीक्षण के साथ)
exploit --cve {81578,82078} [--target] [--force]अवधारणा प्रदर्शन या दूरस्थ शोषण चलाएं (यदि अधिकृत)
detect LOGFILE [--output]संदिग्ध संकेतकों के लिए लॉग फ़ाइल का विश्लेषण करें
report INPUT [--format {html,json,text}] [--output]JSON परिणामों से व्यावसायिक रिपोर्ट उत्पन्न करें
interactiveइंटरैक्टिव मेनू लॉन्च करें
self-testआंतरिक डायग्नोस्टिक्स चलाएं

वैश्विक विकल्प

विकल्पविवरण
--timeout Nअनुरोध टाइमआउट सेकंड में (डिफ़ॉल्ट: 10)
--verboseविस्तृत डीबग आउटपुट दिखाएं
--quietगैर-आवश्यक आउटपुट दबाएं
--output FILEपरिणाम फ़ाइल में सहेजें
--format {text,json,html}स्कैन/रिपोर्ट के लिए आउटपुट प्रारूप

बैच और प्रीफ़िल्टर विकल्प

विकल्पविवरण
--input FILEबैच स्कैनिंग के लिए लक्ष्यों वाली फ़ाइल (प्रति पंक्ति एक)
--output-dir DIRबैच परिणाम सहेजने के लिए निर्देशिका
--threads Nसमवर्ती थ्रेड्स की संख्या (बैच मोड)
--prefilterस्कैनिंग से पहले खुले पोर्ट की जाँच करें (केवल बैच)

🧪 शैक्षिक स्थानीय लैब

लैब एक न्यूनतम Python HTTP सर्वर है जो शैक्षिक उद्देश्यों के लिए दोनों भेद्यताओं की अवधारणाओं को पुन: प्रस्तुत करता है।

CVE-2026-81578 – Tapestry "Complex Direct" बाईपास

  • सार्वजनिक पृष्ठ (Error.page, Exception.page) प्रदर्शित करते समय एक प्रशासनिक घटक (ConfigEditor, UserList) को आमंत्रित करता है
  • प्रदर्शित करता है कि प्रमाणीकरण जाँच केवल प्रदर्शित पृष्ठ पर लागू होती है, आमंत्रित घटक पर नहीं

CVE-2026-82078 – असुरक्षित क्लास लोडिंग

  • उपयोगकर्ता-आपूर्ति नाम से JDBC ड्राइवर क्लास को एलोलिस्ट सत्यापन के बिना इंस्टैंशिएट करता है
  • दिखाता है कि कैसे मनमाने क्लास नाम लोड किए जा सकते हैं, संभावित रूप से RCE की ओर ले जाते हैं
root@kitploit:~
# Start the lab
python papercut.py lab

# Run automated lab test
python papercut.py lab --test

लैब एंडपॉइंट:

  • http://127.0.0.1:8080/lab/cve-81578?component=ConfigEditor&display=Error
  • http://127.0.0.1:8080/lab/cve-82078?driver=org.attacker.RCEPayload

📊 लॉग पहचान

उपकरण भेद्यता तंत्र से प्राप्त संदिग्ध संकेतकों (IOC) के लिए लॉग फ़ाइलों का विश्लेषण करता है:

संकेतकगंभीरताविवरण
tapestry_complex_directCRITICALTapestry .page.*.zone अनुरोध पैटर्न
admin_component_accessHIGHConfigEditor / UserList पृष्ठ पहुंच
public_page_tapestryHIGHTapestry के साथ Error / Exception पृष्ठ
tapestry_post_requestCRITICALTapestry .page पर POST अनुरोध
db_driver_configCRITICALडेटाबेस ड्राइवर कॉन्फ़िगरेशन परिवर्तन
class_loading_errorHIGHClassNotFoundException / NoClassDefFoundError
dynamic_class_loadingCRITICALबाहरी स्रोत से क्लास लोड करना
root@kitploit:~
python papercut.py detect /var/log/papercut/server.log --output detection.json

📝 रिपोर्ट निर्माण

HTML, JSON, या सादे टेक्स्ट में व्यावसायिक रिपोर्ट उत्पन्न करें।

root@kitploit:~
# First, save scan results as JSON
python papercut.py scan http://127.0.0.1:8080 --format json --output result.json

# Generate HTML report
python papercut.py report result.json --format html --output report.html

# Generate JSON report
python papercut.py report result.json --format json --output report.json

# Generate text report
python papercut.py report result.json --format text --output report.txt

HTML रिपोर्ट में शामिल हैं:

  • लक्ष्य और फिंगरप्रिंट विवरण के साथ कार्यकारी सारांश
  • स्थिति, आत्मविश्वास, संकेतक, और साक्ष्य के साथ CVE निष्कर्ष
  • तकनीकी विवरण और उपचार अनुशंसाएँ
  • कार्यप्रणाली और सीमाएँ अस्वीकरण

📁 प्रभावित संस्करण

PaperCut सुरक्षा बुलेटिन (27 अगस्त, 2026) के आधार पर:

संस्करण सीमास्थिति
24.x < 24.1.10❌ प्रभावित
24.1.10+✅ सही
25.x < 25.0.13❌ प्रभावित
25.0.13+✅ सही
26.x < 26.0.5❌ प्रभावित
26.0.5+✅ सही
23.x और नीचे⚠️ जीवन-अंत – अपग्रेड अनुशंसित

🔬 तकनीकी विवरण

CVE-2026-81578 – प्रमाणीकरण बाईपास

PaperCut Apache Tapestry फ्रेमवर्क का उपयोग करता है। Tapestry का "complex direct" अनुरोध प्रारूप दोनों को निर्दिष्ट करने की अनुमति देता है:

  • प्रदर्शित करने के लिए एक पृष्ठ (जैसे, Error.page)
  • निष्पादित करने के लिए घटक वाला एक अलग पृष्ठ (जैसे, ConfigEditor.page)

पहुंच सत्यापन केवल प्रदर्शित पृष्ठ की जाँच करता है, निष्पादित किए जा रहे घटक की नहीं। हमलावर सार्वजनिक पृष्ठ प्रदर्शित करते समय प्रशासनिक घटकों को आमंत्रित कर सकते हैं, प्रमाणीकरण को पूरी तरह से बाईपास कर सकते हैं।

हमला वेक्टर: POST /papercut/ConfigEditor.page?... .zone अनुरोध के साथ, Error.page के माध्यम से प्रदर्शित

CVE-2026-82078 – असुरक्षित डायनामिक क्लास लोडिंग

PaperCut कॉन्फ़िगर करने योग्य ड्राइवर नामों (जैसे, database.driver.class) से JDBC डेटाबेस ड्राइवर क्लास इंस्टैंशिएट करता है। एप्लिकेशन इन क्लास नामों को एलोलिस्ट के विरुद्ध सत्यापित नहीं करता है। हमलावर जो सिस्टम कॉन्फ़िगरेशन में हेरफेर कर सकते हैं (प्रमाणीकरण बाईपास या अन्य माध्यमों से) मनमाने Java क्लास नाम निर्दिष्ट कर सकते हैं, जिन्हें PaperCut सेवा प्रक्रिया द्वारा लोड और इंस्टैंशिएट किया जाता है।

प्रभाव: PaperCut सेवा के सुरक्षा संदर्भ के तहत दूरस्थ कोड निष्पादन (RCE)।

🧠 कार्यप्रणाली

  1. फिंगरप्रिंटिंग – सुरक्षित HTTP प्रोब के माध्यम से संस्करण, फ्रेमवर्क, और उजागर एंडपॉइंट एकत्र करें।
  2. संस्करण आकलन – पता लगाए गए संस्करण की तुलना विक्रेता सलाह सही संस्करणों से करें।
  3. संकेतक संग्रह – Tapestry फ्रेमवर्क, सुलभ प्रशासनिक एंडपॉइंट, और डेटाबेस कॉन्फ़िगरेशन एंडपॉइंट की जाँच करें।
  4. आत्मविश्वास स्कोरिंग – संकेतकों का भारित संयोजन (दूरस्थ पहचान के लिए अधिकतम 85%)।
  5. रिपोर्टिंग – साक्ष्य और अनुशंसाओं के साथ निष्कर्षों को पारदर्शी रूप से प्रस्तुत करें।

⚠️ सीमाएँ

  • दूरस्थ पहचान संकेतक-आधारित है – यह शोषण क्षमता साबित नहीं करती है।
  • गलत सकारात्मक संभव हैं – सुलभ एंडपॉइंट जानबूझकर हो सकते हैं या अन्य तंत्रों द्वारा संरक्षित हो सकते हैं।
  • संस्करण पहचान विफल हो सकती है – कुछ PaperCut स्थापनाएँ संस्करण जानकारी छिपाती हैं।
  • स्थानीय लैब एक सिमुलेशन है – यह अवधारणाओं को पुन: प्रस्तुत करता है लेकिन वास्तविक Java कोड निष्पादित नहीं करता या PaperCut मालिकाना तर्क शामिल नहीं करता।
  • लॉग पहचान पैटर्न-आधारित है – यह नए हमले के रूपों को याद कर सकती है।

🤝 योगदान

योगदान का स्वागत है! कृपया दिशानिर्देशों के लिए CONTRIBUTING.md पढ़ें।

📄 लाइसेंस

MIT लाइसेंस – विवरण के लिए LICENSE देखें।

⚖️ जिम्मेदार उपयोग

यह उपकरण अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए है। स्पष्ट लिखित अनुमति के बिना किसी भी सिस्टम के विरुद्ध उपयोग न करें। अवधारणा प्रदर्शन localhost तक सीमित हैं और दूरस्थ होस्ट के विरुद्ध काम नहीं करेंगे।

इस उपकरण का उपयोग करके, आप सहमत हैं:

  • केवल उन सिस्टमों पर उपयोग करें जिनके आप मालिक हैं या परीक्षण करने की अनुमति है
  • दुर्भावनापूर्ण उद्देश्यों के लिए उपयोग न करें
  • स्वीकार करें कि लेखक कोई वारंटी प्रदान नहीं करता और किसी भी दुरुपयोग के लिए उत्तरदायी नहीं है

📚 संदर्भ

  1. PaperCut Security Bulletin – Urgent Security Advisory
  2. Rapid7 – PaperCut NG/MF Critical Zero‑Day Exploited in the Wild
  3. IONIX – CVE-2026-81578 Analysis
  4. VulDB – CVE-2026-81578
  5. VulDB – CVE-2026-82078
  6. CISA – Known Exploited Vulnerabilities Catalog

संस्करण: 3.1.0
अंतिम अद्यतन: 2026-08-29
अनुरक्षक: yora 1928

"सुरक्षा कोई उत्पाद नहीं है, बल्कि एक प्रक्रिया है।" – ब्रूस श्नीयर

root@kitploit:~

---

## 🚀 GitHub पर अगले चरण

1. **खोलें** `https://github.com/yora1928/PaperCut-CVE-2026-81578-82078`
2. **क्लिक करें** `README.md`
3. **क्लिक करें** पेंसिल आइकन (संपादित करें)
4. **हटाएं** सभी पुरानी सामग्री
5. **पेस्ट करें** उपरोक्त पूरा टेक्स्ट
6. **क्लिक करें** `Commit changes...`
7. **लिखें** कमिट संदेश: `Update README.md with final version`
8. **क्लिक करें** `Commit changes`

---

## 🎉 **पूर्ण! आपका प्रोजेक्ट पेशेवर है और पोर्टफोलियो के लिए तैयार है!** ⚡
टूल डाउनलोड करें