CVE-2026-8793 — PaperCut NG 登录表单缺少暴力破解防护

摘要

PaperCut NG 的 Web 管理界面在其登录端点上未实施任何形式的暴力破解防护。未经身份验证的攻击者可以对任意账户提交无限次身份验证尝试，而不会触发账户锁定、CAPTCHA 验证或请求速率限制。

当与 CVE-2026-8794（通过时序侧信道进行用户名枚举）结合时，该漏洞可实现完全定向的攻击：首先静默枚举有效账户名，然后对这些账户执行无限次登录尝试，而无需担心在应用层被检测或锁定。

技术细节

受影响端点

POST /app HTTP/1.1
Host: <target>:9191
Content-Type: application/x-www-form-urlencoded

service=direct/1/Home/%24Form&inputUsername=admin&inputPassword=<password>

Observed Behaviour

Ten consecutive failed authentication attempts against the built-in admin account produced identical HTTP 200 responses with no behavioral change:

No account lockout
No CAPTCHA challenge
No progressive delay
No rate-limit headers (X-RateLimit-*, Retry-After)
No visible difference between attempt 1 and attempt 10
Proof of Concept:
for i in $(seq 1 10); do
  curl -s -o /dev/null -w "Attempt $i: HTTP %{http_code} — Time: %{time_total}s\n" \
    -X POST "http://<target>:9191/app" \
    -H "Origin: http://<target>:9191" \
    --data "service=direct/1/Home/%24Form&inputUsername=admin&inputPassword=wrongpassword$i"
done

所有十次尝试均返回 HTTP 200，响应时间或内容无可观察差异，证实不存在任何限流机制。

与 CVE-2026-8794 的链式利用攻击链

该漏洞与 CVE-2026-8794 链式利用时影响最大：

第 1 步（CVE-2026-8794）— 通过测量身份验证响应时间来枚举有效用户名。有效用户名平均比无效用户名多耗时约 2.1 秒，这是因为只有当账户存在时才会执行 bcrypt。两个时间分布在 30 个样本中显示零重叠。 第 2 步（CVE-2026-8793）— 对已确认有效的账户执行无限次密码尝试。常见密码字典、凭据泄露库或定向猜测可以全速提交，且无锁定风险。 影响

可通过网络访问 TCP/9191 的未经身份验证的攻击者可以：

• 在无任何限流的情况下对任意账户提交无限次密码猜测
• 使用泄露的密码数据库自动化实施撞库攻击
• 对内置管理员账户或已枚举的用户账户执行定向攻击

PaperCut NG 广泛部署于企业及教育环境中，其 Web 界面用于管理打印队列、计费和用户访问。管理员账户一旦沦陷，攻击者即可完全控制打印基础设施和用户数据。

修复措施

面向管理员（临时缓解措施）：

• 仅允许受信任主机访问 TCP/9191
• 对所有 PaperCut 账户强制使用强且唯一的密码
• 确保在上游身份提供程序（AD/LDAP）中配置了账户锁定
• 监控访问日志中异常的身份验证失败模式

面向厂商：

• 在登录端点实施应用层速率限制或渐进式锁定
• 可选地在失败尝试次数达到可配置阈值后引入 CAPTCHA
• 在应用速率限制时添加 Retry-After 响应头

时间线

参考资料 cve.org 上的 CVE-2026-8793 CVE-2026-8794 — 链式漏洞 CWE-307 PaperCut NG 产品页面

遵循负责任披露原则进行披露。完整技术细节已在公开发布前提供给 PaperCut 安全团队。

研究人员：Vivien LEBAS — @Hazaz