O pacote goodoneuz/pay-uz Laravel (<= 2.2.24) contém uma vulnerabilidade crítica no endpoint /payment/api/editable/update que permite que atacantes não autenticados sobrescrevam arquivos de hook de pagamento PHP existentes. O endpoint é exposto via Route::any() sem middleware de autenticação, permitindo acesso remoto sem credenciais. A entrada controlada pelo usuário é escrita diretamente em arquivos PHP executáveis usando file_put_contents(). Esses arquivos são posteriormente executados via require() durante o processamento normal de pagamentos.

A exploração bem-sucedida desta vulnerabilidade permite que um atacante remoto execute código arbitrário no servidor onde a aplicação Laravel está hospedada. Isso ocorre porque o endpoint vulnerável permite a escrita direta de dados controlados pelo usuário em arquivos PHP executáveis. Esses arquivos são posteriormente carregados e executados durante o fluxo normal de processamento de pagamentos, concedendo ao atacante controle total sobre a aplicação. O impacto é severo, podendo levar à exfiltração de dados sensíveis, modificação de dados, ou até mesmo à tomada de controle completa do servidor. A ausência de autenticação torna a exploração trivial, aumentando significativamente o risco de comprometimento.

Applications utilizing the goodoneuz/pay-uz Laravel package in production environments are at significant risk. Shared hosting environments where users have limited control over their application's configuration are particularly vulnerable, as attackers may be able to exploit this vulnerability through other users' installations of the package.

• laravel / server:

grep -r 'file_put_contents($_SERVER["DOCUMENT_ROOT"]' /var/www/html/*

• generic web:

curl -I <your_laravel_app_url>/payment/api/editable/update

Check the response headers for any unusual or unexpected content. • generic web:

curl -X POST -d 'malicious_code' <your_laravel_app_url>/payment/api/editable/update

Monitor for any unexpected file modifications in the application's payment hook directory.

1. 2026-04-16Disclosure

   disclosure

1. Reservado2026-03-09
2. Publicada2026-04-16
3. Modificada2026-04-17
4. EPSS atualizado2026-04-24

A mitigação primária é atualizar o pacote goodoneuz/pay-uz para uma versão corrigida, assim que disponível. Enquanto a atualização não for possível, implemente controles de acesso rigorosos no endpoint /payment/api/editable/update. Isso pode ser feito adicionando middleware de autenticação robusto que exija credenciais válidas para acessar o endpoint. Considere também a implementação de uma Web Application Firewall (WAF) para bloquear requisições maliciosas direcionadas a este endpoint. Monitore os logs do servidor em busca de tentativas de acesso não autorizado ao endpoint e atividades suspeitas relacionadas ao processamento de pagamentos. Após a atualização, confirme a correção da vulnerabilidade verificando se o endpoint /payment/api/editable/update requer autenticação.