🇰🇷 한글 설명
goodoneuz/pay-uz Laravel 패키지(2.2.24 이하 버전)의 /payment/api/editable/update 엔드포인트에서 인증 없이 기존 PHP 결제 훅 파일을 덮어쓸 수 있는 심각한 취약점이 발견되었습니다. 해당 엔드포인트가 인증 미들웨어 없이 Route::any로 노출되어 있어, 공격자가 인증 없이 원격에서 접근할 수 있습니다.
💡 쉬운 설명
해커가 아이디나 비밀번호 없이도 결제 관련 파일을 마음대로 수정할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 결제 시스템을 조작하거나 악성 코드를 심을 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The goodoneuz/pay-uz Laravel package (<= 2.2.24) contains a critical vulnerability in the /payment/api/editable/update endpoint that allows unauthenticated attackers to overwrite existing PHP payment hook files. The endpoint is exposed via Route::any without authentication middleware, enabling remote access without credentials.
📍 영향받는 시스템
goodoneuz/pay-uz Laravel package version 2.2.24 and below
⚔️ 공격 벡터
인증되지 않은 공격자가 노출된 API 엔드포인트를 통해 원격에서 PHP 파일을 덮어쓰는 방식
🛡️ 대응 방법
해당 패키지를 최신 보안 버전으로 업데이트하거나, 해당 API 엔드포인트에 인증 미들웨어를 적용해야 합니다.
🔧 검증 코드
출력된 버전이 2.2.24 이하인지 확인하여 취약 여부를 판단합니다.
composer show goodoneuz/pay-uz | grep 'versions'