CVE-2026-84306
Açıklama
Filament, hızlandırılmış Laravel geliştirme için bir full-stack bileşenler koleksiyonudur. 4.0.0 ile 4.12.6 ve 5.7.6 arasındaki sürümlerde, packages/panels/src/Auth/MultiFactor/App/AppAuthentication.php dosyası, hem uygulama kimlik doğrulama sırrından hem de gönderilen TOTP kodundan türetilen bir kullanılmış-kod önbellek anahtarı ile AppAuthentication::verifyCode() fonksiyonunu kullanır. Bu durum, kabul edilen en yeni zaman adımını sır yerine koda göre izole ederek, daha yeni bir kod zaten kullanıldıktan sonra daha önce düzenlenmiş uygulama tabanlı bir MFA kodunun tekrar kabul edilmesine izin verir. Aynı kodun yeniden kullanımı zaten engellenmişti ancak kabul edilen zaman penceresindeki başka bir kod kullanılabilir kalmaya devam etti. Hedef hesabın şifresini ve tek bir uygulama tabanlı MFA kodunu ele geçiren bir saldırgan; meşru hesap sahibi daha yeni bir kodla giriş yapmış olsa bile, varsayılan ayarlarla yaklaşık dört dakika olan yapılandırılmış pencerenin geri kalanında bu kodu kullanabilir. E-posta tabanlı MFA etkilenmemiştir. Bu sorun 4.12.6 ve 5.7.6 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- filament/filament4.12.6, 5.7.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| filament/filamentPackagist | 4.0.0 ≤ v < 4.12.6, 5.0.0 ≤ v < 5.7.6 | 4.12.6, 5.7.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.