CVE-2026-48505
Publiée le 2026-06-22 · Dernière modification le 2026-10-25
Les applications Laravel utilisant Filament (versions 4.0.0–4.11.4 et 5.6.0–5.6.4) avec l'authentification multi-facteur (MFA) via application et les codes de récupération activés sont concernées. Un attaquant possédant déjà le mot de passe et les codes de récupération d'un utilisateur peut contourner la restriction d'utilisation unique en soumettant le même code plusieurs fois simultanément afin d'obtenir plusieurs sessions authentifiées concurrentes. Bien que cela nécessite un accès réseau, l'exécution est difficile car l'attaquant doit d'abord voler à la fois le mot de passe et les codes de récupération.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Filament is a collection of full-stack components for accelerated Laravel development. From 4.0.0 until 4.11.5 and 5.6.5, a flaw in the handling of recovery codes for app-based multi-factor authentication allows the same recovery code to be reused via concurrent submission. This issue does not affect email-based MFA. It also only applies when recovery codes are enabled. If an attacker gains access to both the user's password and their recovery codes, they get two authenticated sessions per recovery code burned instead of one, or more if they batch the parallel submissions wider, materially extending the attacker's window of access compared to what the single-use guarantee implies. This vulnerability is fixed in 4.11.5 and 5.6.5.