CVE-2023-2533highbajo ataqueCWE-352

CVE-2023-2533: fallo de gravedad alta en PaperCut NG/MF

PaperCut MF/NG 22.0.10 (Build 65996 2023-03-27) - Remote code execution via CSRF

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear PaperCut NG/MF

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

76Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.4epss 29%
de la publicación al arma771 días
Publicada en NVD20 jun
1ª PoC+771d
CISA KEV+769d
Acción exigida por CISAplazo federal: 2025-08-18

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

PaperCut MF/NG tiene una falla de seguridad que permite a un atacante engañar a un administrador conectado para realizar cambios peligrosos o ejecutar código malicioso haciendo clic en un enlace especialmente crafted. Esto ocurre porque la aplicación no verifica correctamente que las solicitudes provengan de usuarios legítimos.

Detalle técnico

Una vulnerabilidad CSRF en PaperCut NG/MF 22.0.10 permite que un atacante falsifique solicitudes ejecutadas con privilegios de administrador autenticado si el administrador es engañado para hacer clic en un enlace malicioso. El vector de ataque es ingeniería social del lado del cliente; requiere sesión activa de admin e interacción de la víctima. El impacto incluye ejecución arbitraria de código y modificación de configuraciones de seguridad.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A Cross-Site Request Forgery (CSRF) vulnerability has been identified in PaperCut NG/MF, which, under specific conditions, could potentially enable an attacker to alter security settings or execute arbitrary code. This could be exploited if the target is an admin with a current login session. Exploiting this would typically involve the possibility of deceiving an admin into clicking a specially crafted malicious link, potentially leading to unauthorized changes.
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
Productos afectados
PaperCut · PaperCut NG/MF
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — PaperCut NG/MF

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-82077HIGHPaperCut NG/MF: Remote Code Execution via Scan2FaxEPSS 0.8%CVE-2026-8793MEDIUMPaperCut NG/MF: Insufficient brute-force protectionEPSS 0.7%CVE-2026-8794MEDIUMPaperCut NG/MF: User enumeration via timing attackEPSS 0.7%CVE-2026-6418MEDIUMPaperCut NG/MF: Path Traversal in Shared Account SynchronizationEPSS 0.6%CVE-2026-87739MEDIUMPaperCut MF/NG: User permissions are not evaluated on report generationEPSS 0.4%CVE-2026-6180MEDIUMPaperCut MF: Card truncation on HP readersEPSS 0.3%