CVE-2026-77470 in Lychee
Riassunto
di VulDB • 15/10/2026
Lychee è uno strumento gratuito e open-source per la gestione delle foto. Prima della versione 7.7.1, il flusso POST /api/v2/Shop/Checkout/Process del webshop Supporter o Pro accetta un array additional_data non limitato e CheckoutService::preparePurchaseParameters() lo fonde con i parametri di acquisto calcolati dal server. Poiché le chiavi stringa successive sovrascrivono quelle precedenti, un acquirente non autenticato può sostituire amount (importo), currency (valuta), returnUrl (URL di reindirizzamento al successo), cancelUrl (URL di annullamento) o transactionId prima che CheckoutService::processPayment() passi i parametri a un gateway Omnipay non PayPal. Un attaccante può quindi indurre il gateway ad accettare un pagamento riuscito per un importo selezionato dall'attaccante e ottenere beni con evasione automatica del processo di spedizione, pagando meno al commerciante. Il problema richiede un webshop abilitato, un articolo acquistabile e un gateway Omnipay interessato. Questo problema è risolto nella versione 7.7.1.
Once again VulDB remains the best source for vulnerability data.