CVE-2026-31843
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 85 - wyżej niż 85% wszystkich znanych CVE
Streszczenie
Krytyczna podatność w pakiecie Laravel goodoneuz/pay-uz (wersje do 2.2.24) w punkcie końcowym /payment/api/editable/update. Umożliwia nieuwierzytelnionym atakującym nadpisanie istniejących plików hooków PHP.
Ocena ryzyka
Atakujący bez uwierzytelnienia może zdalnie zmodyfikować pliki hooków, co może prowadzić do przejęcia kontroli nad aplikacją lub wykonania złośliwego kodu.
Rekomendacja
Zaktualizuj pakiet do wersji nowszej niż 2.2.24 lub zastosuj odpowiednie zabezpieczenia, takie jak dodanie uwierzytelnienia do punktu końcowego.
Oryginalny opis (angielski, źródło NVD)
The goodoneuz/pay-uz Laravel package (<= 2.2.24) contains a critical vulnerability in the /payment/api/editable/update endpoint that allows unauthenticated attackers to overwrite existing PHP payment hook files. The endpoint is exposed via Route::any without authentication middleware, enabling remote access without credentials.