goodoneuz/pay-uz Laravel पैकेज (<= 2.2.24) में /payment/api/editable/update एंडपॉइंट में एक गंभीर भेद्यता है जो अनाधिकृत हमलावरों को मौजूदा PHP भुगतान हुक फ़ाइलों को ओवरराइट करने की अनुमति देती है। एंडपॉइंट बिना प्रमाणीकरण मिडलवेयर के Route::any() के माध्यम से उजागर किया गया है, जिससे क्रेडेंशियल्स के बिना रिमोट एक्सेस सक्षम हो जाता है। उपयोगकर्ता-नियंत्रित इनपुट को file_put_contents() का उपयोग करके सीधे निष्पादन योग्य PHP फ़ाइलों में लिखा जाता है। ये फ़ाइलें बाद में सामान्य भुगतान प्रक्रिया के दौरान require() के माध्यम से निष्पादित की जाती हैं।

यह भेद्यता हमलावरों को Laravel एप्लिकेशन के भीतर मनमाना कोड निष्पादित करने की अनुमति देती है। /payment/api/editable/update एंडपॉइंट में प्रमाणीकरण की कमी के कारण, कोई भी हमलावर बिना किसी क्रेडेंशियल के इस एंडपॉइंट तक पहुंच सकता है और PHP फ़ाइलों को ओवरराइट कर सकता है। ये फ़ाइलें बाद में सामान्य भुगतान प्रसंस्करण वर्कफ़्लो के दौरान require() फ़ंक्शन के माध्यम से निष्पादित की जाती हैं, जिससे हमलावर एप्लिकेशन के नियंत्रण को प्राप्त कर सकता है। डेटा चोरी, सिस्टम समझौता, और अन्य दुर्भावनापूर्ण गतिविधियाँ संभव हैं। यह भेद्यता Log4Shell जैसी गंभीर भेद्यताओं के समान है, क्योंकि यह प्रमाणीकरण की कमी का फायदा उठाती है और दूरस्थ कोड निष्पादन की अनुमति देती है।

Applications utilizing the goodoneuz/pay-uz Laravel package in production environments are at significant risk. Shared hosting environments where users have limited control over their application's configuration are particularly vulnerable, as attackers may be able to exploit this vulnerability through other users' installations of the package.

• laravel / server:

grep -r 'file_put_contents($_SERVER["DOCUMENT_ROOT"]' /var/www/html/*

• generic web:

curl -I <your_laravel_app_url>/payment/api/editable/update

Check the response headers for any unusual or unexpected content. • generic web:

curl -X POST -d 'malicious_code' <your_laravel_app_url>/payment/api/editable/update

Monitor for any unexpected file modifications in the application's payment hook directory.

1. 2026-04-16Disclosure

   disclosure

1. आरक्षित2026-03-09
2. प्रकाशित2026-04-16
3. संशोधित2026-04-17
4. EPSS अद्यतन2026-04-24

CVE-2026-31843 को कम करने के लिए, Laravel Pay-Uz पैकेज को नवीनतम संस्करण में अपडेट करना महत्वपूर्ण है। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके /payment/api/editable/update एंडपॉइंट तक पहुंच को ब्लॉक करें। वैकल्पिक रूप से, इस एंडपॉइंट के लिए प्रमाणीकरण लागू करें। WAF नियमों को इस तरह कॉन्फ़िगर करें कि वे अनधिकृत अनुरोधों को रोकें। यदि संभव हो, तो भुगतान हुक फ़ाइलों के लिए फ़ाइल अनुमतियों को सख्त करें। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, भुगतान प्रसंस्करण वर्कफ़्लो का परीक्षण करें।