Veille sécuritéBackend & données
P4Moyenne
Dans Filament, certaines actions de gestion de l’authentification multifacteur par application ne demandaient pas systématiquement le mot de passe actuel : une personne disposant déjà d’une session authentifiée pouvait configurer cette MFA ou obtenir des codes de récupération. La MFA par e-mail n’est pas concernée; mettez à niveau vers Filament 4.13.3 ou 5.8.3.
Laravel
IdentifiantCVE-2026-104181
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.13.3 et 5.8.3
Source : Fiche NVD CVE-2026-104181
Analyse technique
La vérification du mot de passe actuel était absente de certaines actions de gestion de la MFA par application. Aucun contournement temporaire confirmé dans les sources consultées.
Impact, versions et correctif
Événement datéAvis GitHub Security Advisory publié le 2026-10-05T23:44:12Z, soit le 2026-10-06T01:44:12+02:00, dans l’intervalle demandé. La mise à jour NVD de 2026-10-06T03:16:59Z est également dans l’intervalle, mais l’inclusion repose sur la publication de l’avis de sécurité, et non sur la seule modification administrative NVD.
ImpactUne personne disposant d’une session authentifiée peut modifier la configuration de la MFA par application ou obtenir des codes de récupération sans connaître le mot de passe du compte; cela peut notamment entraîner le verrouillage du compte légitime.
Versions affectéesFilament 4.x antérieur à 4.13.3 et 5.x antérieur à 5.8.3
Version corrigée4.13.3 et 5.8.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4 · CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
EPSS0,34% · percentile 25,2%
Publication2026-10-06T01:44:12+02:00
Mise à jour2026-10-06T02:00:09+02:00
Action recommandée
Mettre à niveau Filament vers la version corrigée correspondant à la branche utilisée : 4.13.3 ou 5.8.3.
Sources
Priorisation DFS : P4 · 1 source(s).