CVE-2026-77470 in Lychee
Resumen
por VulDB • 2026-10-15
Lychee es una herramienta de gestión fotográfica gratuita y de código abierto. Antes de la versión 7.7.1, el flujo POST /api/v2/Shop/Checkout/Process del webshop Supporter o Pro acepta un array additional_data sin restricciones y CheckoutService::preparePurchaseParameters() lo fusiona después de los parámetros de compra calculados por el servidor. Dado que las claves de cadena posteriores sobrescriben a las anteriores, un comprador no autenticado puede reemplazar amount (monto), currency (moneda), returnUrl (URL de retorno), cancelUrl (URL de cancelación) o transactionId antes de que CheckoutService::processPayment() pase los parámetros a una pasarela Omnipay distinta de PayPal. Por lo tanto, un atacante puede hacer que la pasarela acepte un pago exitoso por un monto seleccionado por el atacante y obtener bienes con cumplimiento automático mientras paga menos al comerciante. El problema requiere un webshop habilitado, un artículo comprable y una pasarela Omnipay afectada. Este problema se soluciona en la versión 7.7.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.