Le paquet Laravel goodoneuz/pay-uz (<= 2.2.24) contient une vulnérabilité CRITICAL dans le point de terminaison /payment/api/editable/update qui permet à des attaquants non authentifiés d'écraser des fichiers de hook de paiement PHP existants. Le point de terminaison est exposé via Route::any() sans middleware d'authentification, permettant un accès distant sans identifiants. Les entrées contrôlées par l'utilisateur sont directement écrites dans des fichiers PHP exécutables en utilisant file_put_contents(). Ces fichiers sont ensuite exécutés via require() pendant le traitement normal des paiements.

L'impact de cette vulnérabilité est extrêmement élevé. Un attaquant peut exploiter cette faille pour injecter du code PHP malveillant dans les fichiers de hook de paiement. Ces fichiers sont ensuite exécutés lors du traitement normal des paiements, permettant à l'attaquant de prendre le contrôle de l'application Laravel. Cela peut conduire à la compromission complète du serveur, au vol de données sensibles (informations de paiement, données utilisateur), à la modification des transactions et à l'exécution de commandes arbitraires sur le système. Le manque d'authentification rend l'exploitation particulièrement simple et accessible, augmentant le risque d'attaques à grande échelle.

Applications utilizing the goodoneuz/pay-uz Laravel package in production environments are at significant risk. Shared hosting environments where users have limited control over their application's configuration are particularly vulnerable, as attackers may be able to exploit this vulnerability through other users' installations of the package.

• laravel / server:

grep -r 'file_put_contents($_SERVER["DOCUMENT_ROOT"]' /var/www/html/*

• generic web:

curl -I <your_laravel_app_url>/payment/api/editable/update

Check the response headers for any unusual or unexpected content. • generic web:

curl -X POST -d 'malicious_code' <your_laravel_app_url>/payment/api/editable/update

Monitor for any unexpected file modifications in the application's payment hook directory.

1. 2026-04-16Disclosure

   disclosure

1. Réservé2026-03-09
2. Publiée2026-04-16
3. Modifiée2026-04-17
4. EPSS mis à jour2026-04-24

La mitigation principale consiste à mettre à jour le package Laravel Pay-Uz vers une version corrigée, dès que disponible. En attendant la mise à jour, il est possible de mettre en place des mesures temporaires. Il est crucial de désactiver ou de restreindre l'accès à l'endpoint /payment/api/editable/update en ajoutant une couche d'authentification robuste (par exemple, un middleware nécessitant une authentification forte). Vérifiez également les fichiers de hook existants pour détecter toute modification suspecte. Enfin, surveillez attentivement les logs de l'application pour détecter des tentatives d'accès non autorisées à cet endpoint.