CVE-2026-6180 in PaperCut
Zusammenfassung
von VulDB • 05.06.2026
In PaperCut MF besteht ein Race Condition bei der Verarbeitung von Badge-Swipe-Daten von bestimmten HP-Multifunktionsgeräten. Unter bestimmten Netzwerkbedingungen, die durch Paketverluste und nicht in der richtigen Reihenfolge eintreffende Sequenzzähler gekennzeichnet sind, kann der Server fragmentierte Datenblöcke fehlerhaft verarbeiten. Wenn eine Sequenz-Reset-Benachrichtigung den Server nicht erreicht, kann dieser den ersten Datenblock ablehnen, nachfolgende Blöcke jedoch fälschlicherweise akzeptieren, bevor ein Verbindungs-Reset abgeschlossen ist.
Dies führt zur Registrierung eines abgeschnittenen Badge-ID-Strings. Während dies in der Regel zu einem Authentifizierungsfehler führt, wird die Schwachstelle in Umgebungen, die benutzerdefinierte Post-Processing-Skripte für Badge-IDs verwenden, verschärft. In solchen Konfigurationen kann der abgeschnittene String in eine gültige ID umgewandelt werden, die einem anderen Benutzer gehört, was zu einer unbefugten Sitzungsanmeldung (Incorrect User Login) auf dem Gerät führt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.