Das goodoneuz/pay-uz Laravel Paket (<= 2.2.24) enthält eine CRITICAL Schwachstelle im /payment/api/editable/update Endpoint, die es nicht authentifizierten Angreifern ermöglicht, bestehende PHP Payment Hook Dateien zu überschreiben. Das Endpoint wird über Route::any() ohne Authentifizierungs-Middleware freigegeben, was Remote-Zugriff ohne Anmeldeinformationen ermöglicht. Benutzerkontrollierte Eingaben werden direkt in ausführbare PHP Dateien mit file_put_contents() geschrieben. Diese Dateien werden später über require() während normaler Payment Prozesse ausgeführt.

Die CVE-2026-31843-Schwachstelle im laravel goodoneuz/pay-uz Paket (<= 2.2.24) stellt ein kritisches Risiko dar. Sie ermöglicht nicht authentifizierten Angreifern, bestehende PHP-Hook-Dateien für Zahlungen zu überschreiben. Der anfällige Endpunkt /payment/api/editable/update wird über Route::any() ohne Authentifizierungs-Middleware freigegeben, was bedeutet, dass er ohne Anmeldedaten remote aufgerufen werden kann. Benutzereingaben werden direkt in ausführbare PHP-Dateien geschrieben, indem die Funktion fileputcontents() verwendet wird. Diese Dateien werden anschließend über require() während der normalen Zahlungsabwicklung ausgeführt, was einem Angreifer ermöglicht, bösartigen Code einzuschleusen und potenziell die Kontrolle über das System zu übernehmen.

Applications utilizing the goodoneuz/pay-uz Laravel package in production environments are at significant risk. Shared hosting environments where users have limited control over their application's configuration are particularly vulnerable, as attackers may be able to exploit this vulnerability through other users' installations of the package.

• laravel / server:

grep -r 'file_put_contents($_SERVER["DOCUMENT_ROOT"]' /var/www/html/*

• generic web:

curl -I <your_laravel_app_url>/payment/api/editable/update

Check the response headers for any unusual or unexpected content. • generic web:

curl -X POST -d 'malicious_code' <your_laravel_app_url>/payment/api/editable/update

Monitor for any unexpected file modifications in the application's payment hook directory.

1. 2026-04-16Disclosure

   disclosure

1. Reserviert2026-03-09
2. Veröffentlicht2026-04-16
3. Geändert2026-04-17
4. EPSS aktualisiert2026-04-24

Die definitive Lösung ist die Aktualisierung des goodoneuz/pay-uz Pakets auf eine korrigierte Version (höher als 2.2.24). Wenn ein Update nicht sofort möglich ist, sollten Sie dringend vorübergehende Abschwächungsmaßnahmen ergreifen. Dazu gehört die Beschränkung des Zugriffs auf den Endpunkt /payment/api/editable/update durch Hinzufügen eines robusten Authentifizierungs-Middleware, das eine ordnungsgemäße Anmeldevalidierung erfordert. Darüber hinaus sollten alle bestehenden Hook-Dateien für Zahlungen sorgfältig überprüft und auf unbefugte Änderungen untersucht werden. Die Überwachung der Serverprotokolle auf verdächtige Aktivitäten im Zusammenhang mit dem anfälligen Endpunkt ist ebenfalls entscheidend.