文章总结： CVE-2026-13753影响HPDeskjet2800系列打印机，因后端API未校验会话状态，未经身份验证的攻击者可通过直接GET请求获取Wi-FiDirect凭据、明文密码短语及SNMP配置等敏感数据。目前无公开PoC，HP未发布补丁，建议隔离打印机、禁用Wi-FiDirect并限制SNMP访问。 综合评分： 88 文章分类： 漏洞分析,网络安全,威胁情报

CVE-2026-13753：HP 缺失授权校验漏洞

sec随谈 sec随谈

sec随谈

2026年7月13日 08:57 北京

在小说阅读器读本章

去阅读

摘要

安全研究人员在 HP Deskjet 2800 系列打印机中发现了一个缺失授权校验的漏洞。该漏洞编号为 13753，会将敏感的设备配置数据暴露给未经身份验证的攻击者。目前，研究人员尚未确认存在任何活跃的利用行为或公开的概念验证(PoC)代码。

为何重要

现代打印机会直接接入企业和家庭网络。这个 HP Deskjet 缺失授权校验漏洞会泄露高度敏感的数据，暴露的信息包括 Wi-Fi Direct 凭据、明文密码短语(passphrase)以及 SNMP 配置详情。攻击者可利用这些数据获得未授权的无线网络访问权，也可以借此摸清网络集成关系(network integrations)或冒充该打印机。这为进一步入侵网络开辟了一条直接的路径。

攻击原理

打印机的 Web 管理界面在常规的浏览器访问中会正确要求管理员凭据。然而，其后端 API 层却未能对会话状态(session states)进行校验。攻击者只需向特定的 API 端点发送直接的、未经身份验证的 GET 请求，设备便会返回敏感的管理配置数据。这就完全绕过了 Web 界面本应提供的安全防护。

受影响版本

该漏洞影响 HP Deskjet 2800 系列打印机。具体而言，它影响运行固件版本 TBP1CN2612AR 及更早版本的设备。

补丁与缓解措施

HP 尚未发布固件补丁。用户必须依靠立即采取的网络层缓解措施来保障安全。请查阅官方安全公告以获取详细的追踪信息和更新。将打印机隔离到一个受信任的网段中；如果不常使用，请禁用 Wi-Fi Direct；将 SNMP 访问严格限制在受信任的管理系统范围内，或将其完全禁用。最后，使用防火墙规则阻止不受信任的主机访问打印机的管理端口。

参考链接：

https://kb.cert.org/vuls/id/828543

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《CVE-2026-13753：HP 缺失授权校验漏洞》