CVE-2026-48505
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 Filament występuje luka w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, która pozwala na wielokrotne użycie tego samego kodu poprzez równoczesne przesyłanie. Problem ten nie dotyczy autoryzacji opartej na e-mailu i występuje tylko wtedy, gdy kody odzyskiwania są włączone.
Ocena ryzyka
Jeśli atakujący uzyska dostęp zarówno do hasła użytkownika, jak i jego kodów odzyskiwania, może uzyskać dwa uwierzytelnione sesje na jeden kod odzyskiwania, co znacznie wydłuża czas dostępu atakującego w porównaniu do założenia jednorazowego użycia.
Rekomendacja
Zaleca się aktualizację do wersji 4.11.5 lub 5.6.5, aby usunąć tę podatność. Należy również rozważyć dodatkowe środki zabezpieczające, takie jak monitorowanie dostępu i zmiana haseł.
Inne podatności w Filament
Zobacz wszystkie- CVE-2026-77567Wysokie
Filament to kolekcja komponentów full-stack do przyspieszonego rozwoju w Laravel. Przed wersjami 4.12.0 i 5.7.0, nieprawidłowa obsługa pól wymaganych w formularzu wyzwania umożliwia obejście uwierzytelniania wieloskładnikowego opartego na aplikacji, gdy włączone są kody odzyskiwania. Uwierzytelnianie wieloskładnikowe oparte na e-mailu nie jest dotknięte.
- CVE-2026-55409Wysokie
Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. W wersjach od 3.0.0 do 3.3.53, wyłączone pole RichEditor renderowało swój surowy stan bez sanitizacji HTML, co umożliwiało atakującym wstrzykiwanie złośliwego HTML lub JavaScript, prowadząc do XSS.
- CVE-2026-48500Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma podatność, która pozwala na przesyłanie plików przez nieautoryzowanych użytkowników w niektórych formularzach, takich jak formularz logowania. To może prowadzić do nieautoryzowanego dostępu do tymczasowego magazynu aplikacji.
- CVE-2026-48166Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma w wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 lukę na stronie logowania, która umożliwia nieautoryzowanym atakującym enumerację zarejestrowanych adresów e-mail.
Oryginalny opis (angielski, źródło NVD)
Filament is a collection of full-stack components for accelerated Laravel development. From 4.0.0 until 4.11.5 and 5.6.5, a flaw in the handling of recovery codes for app-based multi-factor authentication allows the same recovery code to be reused via concurrent submission. This issue does not affect email-based MFA. It also only applies when recovery codes are enabled. If an attacker gains access to both the user's password and their recovery codes, they get two authenticated sessions per recovery code burned instead of one, or more if they batch the parallel submissions wider, materially extending the attacker's window of access compared to what the single-use guarantee implies. This vulnerability is fixed in 4.11.5 and 5.6.5.