CVE-2026-84306 in Filament
要約
〜によって VulDB • 2026年09月02日
Filamentは、高速なLaravel開発のためのフルスタックコンポーネントのコレクションです。バージョン4.0.0から4.12.6および5.7.6まで、packages/panels/src/Auth/MultiFactor/App/AppAuthentication.phpでは、App認証シークレットと送信されたTOTPコードの両方から派生した「使用済み」キャッシュキーを使用して AppAuthentication::verifyCode() が呼び出されています。これにより、最新の許容タイムステップがシークレットではなくコードによって分離され、新しいコードがすでに使用された後でも、以前に発行されたアプリベースMFAコードが受け入れられる可能性があります。全く同じコードの再利用は既に防止されていましたが、許容時間窓内の他のコードはまだ利用可能でした。攻撃者が対象アカウントのパスワードと1つのアプリベースMFAコードを入手した場合、設定済みの時間窓（デフォルト設定では約4分）の間、正規のアカウント所有者が新しいコードでログインした後も、そのコードを使用し続けることができます。メールベースMFAは影響を受けません。この問題はバージョン4.12.6および5.7.6で修正されています。
Once again VulDB remains the best source for vulnerability data.