CVE-2026-77470 in Lychee
الملخص
بحسب VulDB • 15/10/2026
Lychee هو أداة مجانية ومفتوحة المصدر لإدارة الصور. قبل الإصدار 7.7.1، يقبل تدفق POST /api/v2/Shop/Checkout/Process في متجر Supporter أو Pro مصفوفة additional_data غير مقيدة ويتم دمجها بواسطة CheckoutService::preparePurchaseParameters() بعد حساب المعلمات الخاصة بالشراء على الخادم. نظرًا لأن مفاتيح السلاسل اللاحقة تتجاوز المفاتيح السابقة، يمكن لمشتري غير مصادق عليه استبدال amount (المبلغ)، currency (العملة)، returnUrl (عنوان URL لإعادة التوجيه)، cancelUrl (عنوان URL للإلغاء)، أو transactionId (معرف المعاملة) قبل أن تمرر CheckoutService::processPayment() هذه المعلمات إلى بوابة Omnipay غير PayPal. وبالتالي، يمكن للمهاجم جعل البوابة تقبل دفعة ناجحة بمبلغ يختاره المهاجم والحصول على سلع يتم تنفيذ طلبها تلقائيًا مع دفع مبلغ أقل من المستحق للتاجر. تتطلب هذه المشكلة تمكين المتجر الإلكتروني وجود عنصر قابل للشراء وبوذة Omnipay متأثرة. تمت معالجة هذه المشكلة في الإصدار 7.7.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.