CVE-2026-48166

W bibliotece Filament (komponenty full-stack dla Laravel) w wersjach od 4.0.0 do 4.13.3 oraz do 5.8.3 akcje zarządzania uwierzytelnianiem wieloskładnikowym (MFA) opartym na aplikacji nie wymagają konsekwentnie potwierdzenia aktualnego hasła. Atakujący z dostępem do sesji zalogowanego użytkownika może włączyć MFA aplikacyjne i uzyskać kody odzyskiwania lub wyłączyć MFA i wygenerować nowe kody odzyskiwania, podając istniejący kod aplikacji lub kod odzyskiwania, bez znajomości hasła konta. MFA oparte na e-mailu nie jest podatne, a luka sama w sobie nie pozwala na logowanie bez uwierzytelnienia, ale zmiana konfiguracji MFA aplikacji może zablokować dostęp prawowitemu użytkownikowi.

Filament (kolekcja komponentów full-stack dla Laravel) ma podatność w Login.php, gdzie wyzwanie MFA jest prezentowane przed oceną canAccessPanel(). Dla konta, któremu canAccessPanel() odmawia, poprawne hasło powoduje wyświetlenie wyzwania MFA, a niepoprawne zwraca ogólny błąd uwierzytelniania, co pozwala nieuwierzytelnionemu atakującemu potwierdzić poprawność hasła.

Podatność w Filament (kolekcja komponentów dla Laravel) w wersjach od 4.0.0 do 4.12.6 i 5.7.6 pozwala na ponowne użycie wcześniej wygenerowanego kodu MFA opartego na aplikacji, nawet po użyciu nowszego kodu, przez okres około czterech minut, co umożliwia atakującemu z hasłem i jednym kodem MFA dostęp do konta.

Filament to kolekcja komponentów full-stack do przyspieszonego rozwoju w Laravel. Przed wersjami 4.12.0 i 5.7.0, nieprawidłowa obsługa pól wymaganych w formularzu wyzwania umożliwia obejście uwierzytelniania wieloskładnikowego opartego na aplikacji, gdy włączone są kody odzyskiwania. Uwierzytelnianie wieloskładnikowe oparte na e-mailu nie jest dotknięte.

Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. W wersjach od 3.0.0 do 3.3.53, wyłączone pole RichEditor renderowało swój surowy stan bez sanitizacji HTML, co umożliwiało atakującym wstrzykiwanie złośliwego HTML lub JavaScript, prowadząc do XSS.

W wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 Filament występuje luka w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, która pozwala na wielokrotne użycie tego samego kodu poprzez równoczesne przesyłanie. Problem ten nie dotyczy autoryzacji opartej na e-mailu i występuje tylko wtedy, gdy kody odzyskiwania są włączone.

Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma podatność, która pozwala na przesyłanie plików przez nieautoryzowanych użytkowników w niektórych formularzach, takich jak formularz logowania. To może prowadzić do nieautoryzowanego dostępu do tymczasowego magazynu aplikacji.