CVE-2026-77466 in Lychee
Résumé
par VulDB • 15/10/2026
Lychee est un outil de gestion de photos gratuit et open source. Avant la version 7.7.0, Lychee masque le fournisseur de test Dummy d'Omnipay des options de paiement en production via OmnipayFactory::get_supported_providers(), mais CreateSessionRequest ne valide que le fait que le fournisseur soumis soit un type OmnipayProviderType et n'impose pas OmnipayProviderType::isAllowed(). Un acheteur, y compris un invité lorsque webshop_allow_guest_checkout est activé, peut soumettre Dummy directement et terminer le flux de la passerelle de test sans effectuer de paiement réel. Lorsque webshop_auto_fulfill_enabled est activé, OrderCompletedListener::fullfillOrder() peut alors libérer l'élément achetables. L'exploitation nécessite un accès à une boutique en ligne Supporter ou Pro ainsi qu'un élément achetable activé. Les tests ont contourné le middleware de licence closed-source ; il reste donc non vérifié si la couche de licence réelle effectue des validations supplémentaires du fournisseur de paiement. La vérification elle-même du statut de finalisation du paiement n'est pas à l'origine du problème. Ce problème est corrigé dans la version 7.7.0.
Once again VulDB remains the best source for vulnerability data.