CVE-2026-84306 in Filament
Sumário
de VulDB • 01/09/2026
Filament é uma coleção de componentes full-stack para desenvolvimento acelerado do Laravel. Da versão 4.0.0 até a 4.12.6 e da 5.7.6, o arquivo packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php utiliza AppAuthentication::verifyCode() com uma chave de cache used-code derivada tanto do segredo de autenticação do aplicativo quanto do código TOTP submetido. Isso isola a etapa temporal mais recente aceita pelo código em vez de ser isolada pelo segredo, permitindo que um código MFA baseado no aplicativo emitido anteriormente seja aceito após um código mais novo já ter sido utilizado. O reuso exato do mesmo código já era impedido, mas outro código dentro da janela de tempo aceitável permanecia utilizável. Um atacante que obtenha a senha da conta alvo e um código MFA baseado em aplicativo pode usar esse código pelo restante da janela configurada, que é de aproximadamente quatro minutos com as configurações padrão, mesmo após o titular legítimo da conta fazer login com um código mais novo. O MFA baseado em email não é afetado. Este problema foi corrigido nas versões 4.12.6 e 5.7.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.