CVE-2026-104181
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W bibliotece Filament (komponenty full-stack dla Laravel) w wersjach od 4.0.0 do 4.13.3 oraz do 5.8.3 akcje zarządzania uwierzytelnianiem wieloskładnikowym (MFA) opartym na aplikacji nie wymagają konsekwentnie potwierdzenia aktualnego hasła. Atakujący z dostępem do sesji zalogowanego użytkownika może włączyć MFA aplikacyjne i uzyskać kody odzyskiwania lub wyłączyć MFA i wygenerować nowe kody odzyskiwania, podając istniejący kod aplikacji lub kod odzyskiwania, bez znajomości hasła konta. MFA oparte na e-mailu nie jest podatne, a luka sama w sobie nie pozwala na logowanie bez uwierzytelnienia, ale zmiana konfiguracji MFA aplikacji może zablokować dostęp prawowitemu użytkownikowi.
Ocena ryzyka
Atakujący przejmujący sesję użytkownika może zmienić konfigurację MFA i zablokować konto prawowitemu użytkownikowi lub uzyskać kody odzyskiwania, co prowadzi do utraty kontroli nad kontem. Wpływa to na poufność i dostępność kont w aplikacjach Laravel korzystających z Filament.
Rekomendacja
Zaktualizuj Filament do wersji 4.13.3 lub 5.8.3 (lub nowszej), aby naprawić lukę. Dodatkowo rozważ wymuszenie potwierdzenia hasła przy zmianach konfiguracji MFA oraz monitorowanie nietypowych zmian w ustawieniach MFA.
Inne podatności w Filament
Zobacz wszystkie- CVE-2026-84307Niskie
Filament (kolekcja komponentów full-stack dla Laravel) ma podatność w Login.php, gdzie wyzwanie MFA jest prezentowane przed oceną canAccessPanel(). Dla konta, któremu canAccessPanel() odmawia, poprawne hasło powoduje wyświetlenie wyzwania MFA, a niepoprawne zwraca ogólny błąd uwierzytelniania, co pozwala nieuwierzytelnionemu atakującemu potwierdzić poprawność hasła.
- CVE-2026-84306Średnie
Podatność w Filament (kolekcja komponentów dla Laravel) w wersjach od 4.0.0 do 4.12.6 i 5.7.6 pozwala na ponowne użycie wcześniej wygenerowanego kodu MFA opartego na aplikacji, nawet po użyciu nowszego kodu, przez okres około czterech minut, co umożliwia atakującemu z hasłem i jednym kodem MFA dostęp do konta.
- CVE-2026-77567Wysokie
Filament to kolekcja komponentów full-stack do przyspieszonego rozwoju w Laravel. Przed wersjami 4.12.0 i 5.7.0, nieprawidłowa obsługa pól wymaganych w formularzu wyzwania umożliwia obejście uwierzytelniania wieloskładnikowego opartego na aplikacji, gdy włączone są kody odzyskiwania. Uwierzytelnianie wieloskładnikowe oparte na e-mailu nie jest dotknięte.
- CVE-2026-55409Wysokie
Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. W wersjach od 3.0.0 do 3.3.53, wyłączone pole RichEditor renderowało swój surowy stan bez sanitizacji HTML, co umożliwiało atakującym wstrzykiwanie złośliwego HTML lub JavaScript, prowadząc do XSS.
- CVE-2026-48505Wysokie
W wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 Filament występuje luka w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, która pozwala na wielokrotne użycie tego samego kodu poprzez równoczesne przesyłanie. Problem ten nie dotyczy autoryzacji opartej na e-mailu i występuje tylko wtedy, gdy kody odzyskiwania są włączone.
- CVE-2026-48500Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma podatność, która pozwala na przesyłanie plików przez nieautoryzowanych użytkowników w niektórych formularzach, takich jak formularz logowania. To może prowadzić do nieautoryzowanego dostępu do tymczasowego magazynu aplikacji.
- CVE-2026-48166Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma w wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 lukę na stronie logowania, która umożliwia nieautoryzowanym atakującym enumerację zarejestrowanych adresów e-mail.
Oryginalny opis (angielski, źródło NVD)
Filament is a collection of full-stack components for accelerated Laravel development. From 4.0.0 until 4.13.3 and 5.8.3, app-based multi-factor authentication management actions do not consistently require confirmation of the current password. An attacker with access to an authenticated user session can set up app-based MFA and obtain recovery codes, or disable app-based MFA and regenerate recovery codes by supplying an existing app code or recovery code, without knowing the account password. Email-based MFA is not affected, and the issue does not independently permit an unauthenticated sign-in, but changing the app-MFA configuration may lock the legitimate user out. This issue is fixed in versions 4.13.3 and 5.8.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS