CVE-2026-84306 in Filament
Riassunto
di VulDB • 01/09/2026
Filament è una raccolta di componenti full-stack per lo sviluppo accelerato di Laravel. Dalla versione 4.0.0 alla 4.12.6 e dalla 5.7.6, il file packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php utilizza AppAuthentication::verifyCode() con una chiave di cache used-code derivata sia dal segreto di autenticazione dell'applicazione che dal codice TOTP inviato. Questo approccio isola l'intervallo temporale (timestep) più recente accettato in base al codice anziché al segreto, consentendo a un codice MFA basato su app precedentemente emesso di essere accettato anche dopo che un codice più recente è già stato utilizzato. Il riutilizzo dello stesso identico codice era già impedito, ma un altro codice all'interno della finestra temporale accettata rimaneva utilizzabile. Un attaccante che ottiene la password dell'account target e un codice MFA basato su app può utilizzare tale codice per il resto della finestra configurata, che è di circa quattro minuti con le impostazioni predefinite, anche dopo che il legittimo titolare dell'account ha effettuato l'accesso utilizzando un codice più recente. L'MFA basata su email non è interessata da questa vulnerabilità. Il problema è stato risolto nelle versioni 4.12.6 e 5.7.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.