CVE-2026-84306 in Filament
Résumé
par VulDB • 01/09/2026
Filament est une collection de composants full-stack pour un développement Laravel accéléré. De la version 4.0.0 jusqu'aux versions 4.12.6 et 5.7.6, le fichier packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php utilise AppAuthentication::verifyCode() avec une clé de cache used-code dérivée à la fois du secret d'authentification de l'application et du code TOTP soumis. Cela isole le pas de temps (timestep) accepté le plus récent par code plutôt que par secret, permettant qu'un code MFA basé sur l'applicatif précédemment émis soit accepté après qu'un code plus récent a déjà été utilisé. La réutilisation exacte du même code était déjà empêchée, mais un autre code situé dans la fenêtre de temps acceptée restait utilisable. Un attaquant qui obtient le mot de passe du compte cible et un code MFA basé sur l'application peut utiliser ce code pour le reste de la fenêtre configurée, soit environ quatre minutes avec les paramètres par défaut, même après que le titulaire légitime du compte s'est connecté avec un code plus récent. Le MFA par e-mail n'est pas affecté. Ce problème est corrigé dans les versions 4.12.6 et 5.7.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.