CVE-2026-48166
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma w wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 lukę na stronie logowania, która umożliwia nieautoryzowanym atakującym enumerację zarejestrowanych adresów e-mail.
Ocena ryzyka
Ryzyko polega na ujawnieniu, czy konto istnieje dla danego adresu e-mail, co może prowadzić do dalszych ataków na użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 4.11.5 lub 5.6.5, aby usunąć tę podatność.
Inne podatności w Filament
Zobacz wszystkie- CVE-2026-77567Wysokie
Filament to kolekcja komponentów full-stack do przyspieszonego rozwoju w Laravel. Przed wersjami 4.12.0 i 5.7.0, nieprawidłowa obsługa pól wymaganych w formularzu wyzwania umożliwia obejście uwierzytelniania wieloskładnikowego opartego na aplikacji, gdy włączone są kody odzyskiwania. Uwierzytelnianie wieloskładnikowe oparte na e-mailu nie jest dotknięte.
- CVE-2026-55409Wysokie
Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. W wersjach od 3.0.0 do 3.3.53, wyłączone pole RichEditor renderowało swój surowy stan bez sanitizacji HTML, co umożliwiało atakującym wstrzykiwanie złośliwego HTML lub JavaScript, prowadząc do XSS.
- CVE-2026-48505Wysokie
W wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 Filament występuje luka w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, która pozwala na wielokrotne użycie tego samego kodu poprzez równoczesne przesyłanie. Problem ten nie dotyczy autoryzacji opartej na e-mailu i występuje tylko wtedy, gdy kody odzyskiwania są włączone.
- CVE-2026-48500Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma podatność, która pozwala na przesyłanie plików przez nieautoryzowanych użytkowników w niektórych formularzach, takich jak formularz logowania. To może prowadzić do nieautoryzowanego dostępu do tymczasowego magazynu aplikacji.
Oryginalny opis (angielski, źródło NVD)
Filament is a collection of full-stack components for accelerated Laravel development. From 4.0.0 until 4.11.5 and 5.6.5, the login page has an observable timing discrepancy that allows unauthenticated attackers to enumerate registered email addresses. The impact is limited to disclosing whether an account exists for a given email. This vulnerability is fixed in 4.11.5 and 5.6.5.