Het goodoneuz/pay-uz Laravel pakket (<= 2.2.24) bevat een CRITICAL kwetsbaarheid in het /payment/api/editable/update endpoint dat ongeauthenticeerde aanvallers in staat stelt bestaande PHP payment hook bestanden te overschrijven. Het endpoint wordt blootgesteld via Route::any() zonder authenticatie middleware, waardoor externe toegang zonder inloggegevens mogelijk is. Gebruikersgestuurde invoer wordt direct geschreven in uitvoerbare PHP bestanden met behulp van file_put_contents(). Deze bestanden worden later uitgevoerd via require() tijdens normale payment proces

De kwetsbaarheid in de goodoneuz/pay-uz Laravel package maakt het mogelijk voor een ongeauthenticeerde aanvaller om willekeurige PHP-code uit te voeren op de server. Dit gebeurt doordat de /payment/api/editable/update endpoint, die gebruikt wordt om betaal-hook bestanden te bewerken, geen authenticatie vereist. Een aanvaller kan deze endpoint gebruiken om bestaande PHP-bestanden te overschrijven met kwaadaardige code. Deze bestanden worden vervolgens uitgevoerd wanneer de betalingsverwerking plaatsvindt, waardoor de aanvaller volledige controle krijgt over de applicatie. De impact is significant, aangezien de aanvaller toegang kan krijgen tot gevoelige gegevens, de applicatie kan manipuleren en mogelijk toegang kan krijgen tot andere systemen binnen het netwerk.

Applications utilizing the goodoneuz/pay-uz Laravel package in production environments are at significant risk. Shared hosting environments where users have limited control over their application's configuration are particularly vulnerable, as attackers may be able to exploit this vulnerability through other users' installations of the package.

• laravel / server:

grep -r 'file_put_contents($_SERVER["DOCUMENT_ROOT"]' /var/www/html/*

• generic web:

curl -I <your_laravel_app_url>/payment/api/editable/update

Check the response headers for any unusual or unexpected content. • generic web:

curl -X POST -d 'malicious_code' <your_laravel_app_url>/payment/api/editable/update

Monitor for any unexpected file modifications in the application's payment hook directory.

1. 2026-04-16Disclosure

   disclosure

1. Gereserveerd2026-03-09
2. Gepubliceerd2026-04-16
3. Gewijzigd2026-04-17
4. EPSS bijgewerkt2026-04-24

De primaire mitigatie is het upgraden van de goodoneuz/pay-uz Laravel package naar een beveiligde versie. Controleer de officiële repository voor de meest recente versie met de fix. Indien een upgrade niet direct mogelijk is, kan een tijdelijke workaround bestaan uit het toevoegen van authenticatie middleware aan de /payment/api/editable/update endpoint. Dit kan worden gedaan door de route te beveiligen met een middleware die de gebruiker verifieert. Daarnaast kan het implementeren van een Web Application Firewall (WAF) helpen om kwaadaardige verzoeken te blokkeren. Na de upgrade, controleer de applicatielogboeken op verdachte activiteit en bevestig dat de endpoint nu beveiligd is door te proberen de endpoint te benaderen zonder authenticatie.