CVE-2026-84306
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w Filament (kolekcja komponentów dla Laravel) w wersjach od 4.0.0 do 4.12.6 i 5.7.6 pozwala na ponowne użycie wcześniej wygenerowanego kodu MFA opartego na aplikacji, nawet po użyciu nowszego kodu, przez okres około czterech minut, co umożliwia atakującemu z hasłem i jednym kodem MFA dostęp do konta.
Ocena ryzyka
Atak może prowadzić do nieautoryzowanego dostępu do kont użytkowników, co może skutkować naruszeniem poufności i integralności danych.
Rekomendacja
Zaktualizuj Filament do wersji 4.12.6 lub 5.7.6, które zawierają poprawkę.
Inne podatności w Filament
Zobacz wszystkie- CVE-2026-84307Niskie
Filament (kolekcja komponentów full-stack dla Laravel) ma podatność w Login.php, gdzie wyzwanie MFA jest prezentowane przed oceną canAccessPanel(). Dla konta, któremu canAccessPanel() odmawia, poprawne hasło powoduje wyświetlenie wyzwania MFA, a niepoprawne zwraca ogólny błąd uwierzytelniania, co pozwala nieuwierzytelnionemu atakującemu potwierdzić poprawność hasła.
- CVE-2026-77567Wysokie
Filament to kolekcja komponentów full-stack do przyspieszonego rozwoju w Laravel. Przed wersjami 4.12.0 i 5.7.0, nieprawidłowa obsługa pól wymaganych w formularzu wyzwania umożliwia obejście uwierzytelniania wieloskładnikowego opartego na aplikacji, gdy włączone są kody odzyskiwania. Uwierzytelnianie wieloskładnikowe oparte na e-mailu nie jest dotknięte.
- CVE-2026-55409Wysokie
Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. W wersjach od 3.0.0 do 3.3.53, wyłączone pole RichEditor renderowało swój surowy stan bez sanitizacji HTML, co umożliwiało atakującym wstrzykiwanie złośliwego HTML lub JavaScript, prowadząc do XSS.
- CVE-2026-48505Wysokie
W wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 Filament występuje luka w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, która pozwala na wielokrotne użycie tego samego kodu poprzez równoczesne przesyłanie. Problem ten nie dotyczy autoryzacji opartej na e-mailu i występuje tylko wtedy, gdy kody odzyskiwania są włączone.
- CVE-2026-48500Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma podatność, która pozwala na przesyłanie plików przez nieautoryzowanych użytkowników w niektórych formularzach, takich jak formularz logowania. To może prowadzić do nieautoryzowanego dostępu do tymczasowego magazynu aplikacji.
- CVE-2026-48166Średnie
Filament, zbiór komponentów do przyspieszonego rozwoju w Laravel, ma w wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 lukę na stronie logowania, która umożliwia nieautoryzowanym atakującym enumerację zarejestrowanych adresów e-mail.
Oryginalny opis (angielski, źródło NVD)
Filament is a collection of full-stack components for accelerated Laravel development. From 4.0.0 until 4.12.6 and 5.7.6, packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php uses AppAuthentication::verifyCode() with a used-code cache key derived from both the app authentication secret and the submitted TOTP code. This isolates the newest accepted timestep by code instead of by secret, allowing a previously issued app-based MFA code to be accepted after a newer code has already been used. Reuse of the exact same code was already prevented, but another code inside the accepted time window remained usable. An attacker who obtains the target account's password and one app-based MFA code can use that code for the remainder of the configured window, which is approximately four minutes with the default settings, even after the legitimate account holder logs in with a newer code. Email-based MFA is not affected. This issue is fixed in versions 4.12.6 and 5.7.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS