CVE-2026-48500
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma podatność, która pozwala na przesyłanie plików przez nieautoryzowanych użytkowników w niektórych formularzach, takich jak formularz logowania. To może prowadzić do nieautoryzowanego dostępu do tymczasowego magazynu aplikacji.
Ocena ryzyka
Nieautoryzowani atakujący mogą wykorzystać tę podatność do przesyłania dowolnych plików, co może prowadzić do wyczerpania przestrzeni dyskowej lub zwiększenia kosztów przechowywania. To stwarza poważne ryzyko dla bezpieczeństwa aplikacji.
Rekomendacja
Zaleca się aktualizację Filament do wersji 3.3.52, 4.11.5 lub 5.6.5, aby usunąć tę podatność. Należy również przeanalizować formularze, które nie wymagają przesyłania plików, aby zminimalizować ryzyko.
Inne podatności w Filament
Zobacz wszystkie- CVE-2026-77567Wysokie
Filament to kolekcja komponentów full-stack do przyspieszonego rozwoju w Laravel. Przed wersjami 4.12.0 i 5.7.0, nieprawidłowa obsługa pól wymaganych w formularzu wyzwania umożliwia obejście uwierzytelniania wieloskładnikowego opartego na aplikacji, gdy włączone są kody odzyskiwania. Uwierzytelnianie wieloskładnikowe oparte na e-mailu nie jest dotknięte.
- CVE-2026-55409Wysokie
Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. W wersjach od 3.0.0 do 3.3.53, wyłączone pole RichEditor renderowało swój surowy stan bez sanitizacji HTML, co umożliwiało atakującym wstrzykiwanie złośliwego HTML lub JavaScript, prowadząc do XSS.
- CVE-2026-48505Wysokie
W wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 Filament występuje luka w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, która pozwala na wielokrotne użycie tego samego kodu poprzez równoczesne przesyłanie. Problem ten nie dotyczy autoryzacji opartej na e-mailu i występuje tylko wtedy, gdy kody odzyskiwania są włączone.
- CVE-2026-48166Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma w wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 lukę na stronie logowania, która umożliwia nieautoryzowanym atakującym enumerację zarejestrowanych adresów e-mail.
Oryginalny opis (angielski, źródło NVD)
Filament is a collection of full-stack components for accelerated Laravel development. From 3.0.0 until 3.3.52, 4.11.5, and 5.6.5, any schema can contain a file upload form field, so Filament applies Livewire's WithFileUploads trait to the Livewire component the schema is embedded in. However, some schemas, such as the panel login form, do not require file uploads, and exposing unauthenticated temporary file uploads on these components is not an acceptable risk. On these components, an unauthenticated attacker could upload arbitrary files to the application's temporary storage, which could be abused to exhaust disk space or inflate storage costs. This vulnerability is fixed in 3.3.52, 4.11.5, and 5.6.5.