CVE-2026-77470 in Lychee
要約
〜によって VulDB • 2026年10月15日
Lycheeは、無料のオープンソース写真管理ツールです。バージョン7.7.1より前では、SupporterまたはProウェブショップにおけるPOST /api/v2/Shop/Checkout/Processフローが制限のないadditional_data配列を受け入れ、CheckoutService::preparePurchaseParameters()がサーバー計算済みの購入パラメータにこれをマージします。後続の文字列キーが先行するキーを上書きするため、認証されていない購買者がamount（金額）、currency（通貨）、returnUrl、cancelUrl、またはtransactionIdを置き換えることができ、その後CheckoutService::processPayment()がこのパラメータを非PayPalのOmnipayゲートウェイに渡します。したがって、攻撃者はゲートウェイに対して攻撃者が選定した金額での成功した決済を受けさせ、商人への過少支払いながら自動履行される商品を取得することができます。この問題には、有効化されたウェブショップ、購入可能なアイテム、および影響を受けるOmnipayゲートウェイが必要です。本問題はバージョン7.7.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.