CVE-2026-84306 in Filament
الملخص
بحسب VulDB • 02/09/2026
Filament هو مجموعة من مكونات الواجهة الكاملة (full-stack) لتطوير Laravel بشكل أسرع. في الإصدارات من 4.0.0 حتى 4.12.6 ومن 5.7.6، يستخدم الملف packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php الدالة AppAuthentication::verifyCode() مع مفتاح ذاكرة تخزين مؤقت (cache key) مُشتق من كلٍ من سر المصادقة للتطبيق وكود TOTP المُقدَّم. يؤدي هذا إلى عزل أحدث فترة زمنية مقبولة بناءً على الكود بدلاً من الاعتماد على السر، مما يسمح بقبول كود MFA قائم على التطبيق تم إصداره سابقاً حتى بعد استخدام كود أحدث بالفعل. كان إعادة استخدام نفس الكود بالضبط قد تمت منعها مسبقاً، لكن كوداً آخر ضمن نافذة الوقت المقبولة ظل قابلاً للاستخدام. يمكن لمهاجم يحصل على كلمة مرور حساب الهدف وكود واحد لـ MFA قائم على التطبيق أن يستخدم ذلك الكود طوال فترة النافذة المكونة (والتي تبلغ حوالي أربع دقائق مع الإعدادات الافتراضية)، حتى بعد تسجيل الدخول إلى الحساب الشرعي باستخدام كود أحدث. لا تتأثر عملية MFA القائمة على البريد الإلكتروني. تم إصلاح هذه المشكلة في الإصدارات 4.12.6 و5.7.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.