CVE-2026-48500: Upload file non autenticato in Filament

Il CVE-2026-48500 riguarda una vulnerabilità in Filament, libreria di componenti full-stack per Laravel. La falla espone form di upload su schemi privi di autenticazione applicando il trait WithFileUploads di Livewire a componenti critici come il form di login. Un attaccante non autenticato può inviare file arbitrari allo storage temporaneo dell'applicazione senza limiti di accesso, mettendo a rischio la disponibilità del servizio.

Il punteggio CVSS 6,5 (Medium) riflette l'assenza di autenticazione richiesta e l'impatto di denial of service tramite esaurimento del disco o inflazione dei costi di storage cloud. La vulnerabilità è stata corretta il 22 giugno 2026 nelle patch 3.3.52, 4.11.5 e 5.6.5. Un segnale GitHub odierno indica che materiale tecnico correlato allo sfruttamento è disponibile o riceve attenzione pubblica: per amministratori, questo significa urgenza di verifica e aggiornamento.

Gli amministratori devono identificare immediatamente le installazioni Filament e applicare l'aggiornamento alle versioni patch 3.3.52, 4.11.5 o 5.6.5. Verificare i log di upload temporaneo per attività sospette retroattive. Implementare monitoraggio su quota disco e storage cost; limitare lo spazio allocato per upload temporanei; valutare se il trait WithFileUploads è realmente necessario su form di login e altri componenti sensibili che non richiedono upload di file.