CVE-2026-84306

Filament sürətli Laravel tərtibatı üçün full-stack komponentlər toplusudur. 4.0.0 versiyasından 4.12.6 və 5.7.6 versiyalarına qədər olan dövrdə packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php faylındakı AppAuthentication::verifyCode() funksiyası həm tətbiqin autentifikasiya sirrindən, həm də təqdim edilmiş TOTP kodundan törəmiş istifadə olunmuş kod keş açarından istifadə edir. Bu, ən son qəbul edilmiş zaman addımını sirr əvəzinə koda görə izolyasiya edir ki, bu da daha yeni bir kod istifadə edildikdən sonra belə, əvvəllər verilmiş tətbiq əsaslı MFA kodunun qəbul edilməsinə şərait yaradır. Eyni kodun yenidən istifadəsi artıq qarşısı alınmışdı, lakin qəbul edilən zaman pəncərəsi daxilindəki digər kodlar istifadə edilə bilən vəziyyətdə qalırdı. Hədəf hesabın şifrəsini və bir tətbiq əsaslı MFA kodunu əldə edən hücumçu, hətta legitim hesab sahibi daha yeni bir kodla daxil olduqdan sonra belə, həmin kodu konfiqurasiya edilmiş pəncərənin qalan hissəsində (standart parametrlərlə təxminən dörd dəqiqə) istifadə edə bilər. E-poçt əsaslı MFA-ya təsir etmir. Bu problem 4.12.6 və 5.7.6 versiyalarında düzəldilmişdir.