CVE-2026-84306 in Filament
Tóm tắt
Bởi VulDB • 01/09/2026
Filament là một bộ sưu tập các thành phần full-stack cho việc phát triển Laravel được tăng tốc. Từ phiên bản 4.0.0 đến 4.12.6 và từ 5.7.6 trở đi, tệp packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php sử dụng AppAuthentication::verifyCode() với một khóa bộ nhớ đệm (cache key) đã qua sử dụng được suy ra từ cả bí mật xác thực ứng dụng lẫn mã TOTP do người dùng gửi. Điều này cô lập khoảng thời gian chấp nhận mới nhất dựa trên mã thay vì dựa trên bí mật, cho phép một mã MFA dựa trên ứng dụng từng được cấp trước đó vẫn bị chấp nhận sau khi một mã mới hơn đã được sử dụng. Việc tái sử dụng chính xác cùng một mã đã được ngăn chặn, nhưng các mã khác nằm trong cửa sổ thời gian chấp nhận vẫn có thể sử dụng được. Một kẻ tấn công nếu chiếm được mật khẩu của tài khoản mục tiêu và một mã MFA dựa trên ứng dụng thì có thể dùng mã đó cho phần còn lại của khoảng thời gian cấu hình (khoảng bốn phút với cài đặt mặc định), ngay cả sau khi chủ sở hữu hợp pháp đăng nhập bằng một mã mới hơn. Xác thực đa yếu tố qua email không bị ảnh hưởng. Vấn đề này đã được sửa chữa trong các phiên bản 4.12.6 và 5.7.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.