CVE-2026-48505
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W wersjach od 4.0.0 do 4.11.5 oraz 5.6.5 Filament występuje luka w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, która pozwala na wielokrotne użycie tego samego kodu poprzez równoczesne przesyłanie. Problem ten nie dotyczy autoryzacji opartej na e-mailu i występuje tylko wtedy, gdy kody odzyskiwania są włączone.
Ocena ryzyka
Jeśli atakujący uzyska dostęp zarówno do hasła użytkownika, jak i jego kodów odzyskiwania, może uzyskać dwa uwierzytelnione sesje na jeden kod odzyskiwania, co znacznie wydłuża czas dostępu atakującego w porównaniu do założenia jednorazowego użycia.
Rekomendacja
Zaleca się aktualizację do wersji 4.11.5 lub 5.6.5, aby usunąć tę podatność. Należy również rozważyć dodatkowe środki zabezpieczające, takie jak monitorowanie dostępu i zmiana haseł.
Oryginalny opis (angielski, źródło NVD)
Filament is a collection of full-stack components for accelerated Laravel development. From 4.0.0 until 4.11.5 and 5.6.5, a flaw in the handling of recovery codes for app-based multi-factor authentication allows the same recovery code to be reused via concurrent submission. This issue does not affect email-based MFA. It also only applies when recovery codes are enabled. If an attacker gains access to both the user's password and their recovery codes, they get two authenticated sessions per recovery code burned instead of one, or more if they batch the parallel submissions wider, materially extending the attacker's window of access compared to what the single-use guarantee implies. This vulnerability is fixed in 4.11.5 and 5.6.5.