Пакет goodoneuz/pay-uz, который подключают к сервисам для работы с платёжными системами, содержит уязвимость критического уровня. Банк данных угроз безопасности информации (BDU) присвоил ей 9,8 балла по CVSS 3.1 и по 10 баллов по CVSS 2.0 и 4.0. Причина - ошибки разграничения доступа. Учётные данные злоумышленнику не нужны, действует он по сети. Уязвимы версии до 2.2.24 включительно.
Ошибка контроля доступа CVE-2026-31843 в pay-uz
Формально тип ошибки описан как неправильный контроль доступа (CWE-284). В BDU класс уязвимости указан как уязвимость архитектуры. Практический смысл простой: приложение неверно решает, что позволено конкретному обращению. Проверка прав не срабатывает там, где должна, и ограничения обходятся. Способ эксплуатации в карточке обозначен как нарушение авторизации.
Вектор CVSS описывает сетевую атаку с низкой сложностью. Привилегии не требуются, участие пользователя тоже. Влияние на конфиденциальность, целостность и доступность оценивается по высшей шкале. Иными словами, у злоумышленника появляется возможность выполнить на сервере собственный код. Для библиотеки, через которую проходят платежи, сценарий тяжёлый: под удар попадают и данные плательщиков, и логика транзакций.
Затронуты не конечные пользователи, а сервисы, где применён пакет. Распространяется он через Packagist и открытый репозиторий на GitHub, поэтому его ставят в проекты десятки команд, часто без отдельного аудита сторонних зависимостей. Каждая такая установка расширяет периметр риска. Идентификатор в BDU - 2026-18202, дата выявления - 16 апреля 2026 года.
Сведений о реальных атаках пока нет. Статус уязвимости в карточке - данные уточняются, наличие эксплойта, то есть вредоносного кода для эксплуатации, тоже не подтверждено. Отсутствие подтверждённой эксплуатации не отменяет риска: публичные библиотеки изучают быстро, а низкая сложность атаки сокращает путь от анализа к рабочему образцу атаки.
Об исправлении информации нет. В BDU способ устранения и сведения об устранении помечены как уточняемые. Версия 2.2.24 входит в перечень уязвимых, поэтому обновление до неё проблему не снимает. Командам, которые используют пакет, разумно проверить состояние проекта у сообщества и уточнить статус у сопровождающих.
Пока исправления нет, вендор предлагает компенсирующие меры. Антивирусное программное обеспечение помогает отслеживать попытки эксплуатации. Файлы из недоверенных источников лучше открывать в замкнутой программной среде. Системы обнаружения и предотвращения вторжений (IDS и IPS) фиксируют подозрительные обращения к приложению. Пользовательские привилегии сокращают до необходимого минимума, а неиспользуемые учётные записи отключают и удаляют.
История показывает уязвимость зависимости, которая стоит на пути денежных операций. Платёжные обёртки редко проходят такой же аудит, как основные платформы. Ошибка в проверке прав обходится дороже прочих, поскольку бьёт по целостности транзакций и доверию к сервису.
Ссылки
- https://bdu.fstec.ru/vul/2026-18202
- https://www.cve.org/CVERecord?id=CVE-2026-31843
- https://packagist.org/packages/goodoneuz/pay-uz
- https://github.com/shaxzodbek-uzb/pay-uz
