CVE-2026-77470 in Lychee
Sumário
de VulDB • 15/10/2026
Lychee é uma ferramenta gratuita e de código aberto para gerenciamento de fotos. Antes da versão 7.7.1, o fluxo POST /api/v2/Shop/Checkout/Process do webshop Supporter ou Pro aceita um array additional_data sem restrições, e CheckoutService::preparePurchaseParameters() mescla esse array após os parâmetros de compra calculados pelo servidor. Como chaves de string posteriores sobrescrevem as anteriores, um comprador não autenticado pode substituir amount (valor), currency (moeda), returnUrl (URL de retorno), cancelUrl (URL de cancelamento) ou transactionId (ID da transação) antes que CheckoutService::processPayment() passe os parâmetros para uma gateway Omnipay não PayPal. Um atacante, portanto, pode fazer com que a gateway aceite um pagamento bem-sucedido por um valor selecionado pelo atacante e obtenha produtos entregues automaticamente enquanto paga menos ao comerciante. A vulnerabilidade requer um webshop habilitado, um item comprável e uma gateway Omnipay afetada. O problema foi corrigido na versão 7.7.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.